Pięć oczu ostrzega: chiński wywiad podszywa się pod rekruterów. Jak chronić firmę przed szpiegostwem?

Służby wywiadowcze państw sojuszu Five Eyes opublikowały wspólne ostrzeżenie dotyczące działań chińskiego wywiadu wojskowego. Jak wynika z komunikatu, oficerowie chińskiego wywiadu podszywają się pod rekruterów na portalach takich jak LinkedIn, Indeed czy Upwork, aby pozyskać informacje od osób posiadających dostęp do wrażliwych danych rządowych i wojskowych. Kampania nie ogranicza się jednak do sektora publicznego – zagrożone są również firmy współpracujące z administracją lub posiadające w swoich szeregach byłych pracowników służb.

Jak działa fałszywa rekrutacja?

Mechanizm ataku jest precyzyjnie zaplanowany. Chińscy oficerowie wywiadu zakładają profile na platformach rekrutacyjnych, podszywając się pod think tanki, prywatne firmy konsultingowe lub agencje HR. Publikują ogłoszenia o pracę na stanowiska analityków polityki zagranicznej lub obronnej. W ostrzeżeniu Five Eyes czytamy, że aplikacje kandydatów są rankingowane pod kątem potencjalnego dostępu do informacji niejawnych.

Wybrane osoby zapraszane są na rozmowy wideo, podczas których rekruterzy ukrywają swoją tożsamość i wypytują o kontakty w instytucjach rządowych. Kolejnym etapem jest prośba o przygotowanie próbnego raportu na temat, przykładowo, relacji dwustronnych Chin czy bezpieczeństwa w regionie Indo-Pacyfiku. Gdy kandydat prześle opracowanie, fałszywy rekruter informuje, że do pełnej oceny potrzebne są bardziej szczegółowe dane – w tym informacje niejawne.

Skala i metody płatności

Według służb, za każdy raport kandydaci otrzymują od kilkuset do kilku tysięcy dolarów. Płatności realizowane są za pośrednictwem platform takich jak PayPal, Payoneer, Zelle, Skrill, Wise, Western Union, przelewem elektronicznym lub kryptowalutami. Pieniądze pochodzą z kont osób niezaangażowanych bezpośrednio w rekrutację. Autorzy alertu podkreślają, że nawet pozornie niejawne informacje, po połączeniu z innymi danymi, mogą stanowić zagrożenie dla życia personelu wojskowego oraz bezpieczeństwa gospodarczego państw sojuszu.

Eksperci zwracają uwagę, że metoda ta nie jest nowa, ale portale społecznościowe nadają jej niespotykaną skalę i precyzję. Steve Povolny z Exabeam skomentował: „Najskuteczniejsze operacje szpiegowskie nie zaczynają się dziś od włamania do systemu. Zaczynają się od rozmowy, prośby o kontakt lub oferty pracy, która wydaje się całkowicie legalna”.

Konsekwencje dla firm i pracowników

Zagrożenie dotyczy nie tylko osób z dostępem do ściśle tajnych informacji. W ostrzeżeniu zaznaczono, że nawet dane jawne, po zestawieniu z innymi źródłami, mogą nabrać strategicznego znaczenia. Pracownicy firm, które współpracują z administracją publiczną, wojskiem lub sektorem obronnym, powinni być świadomi ryzyka. Konsekwencje dla osoby, która da się zwerbować, mogą być dotkliwe: od utraty poświadczenia bezpieczeństwa i pracy po postępowanie karne za szpiegostwo.

Dla przedsiębiorstw oznacza to konieczność weryfikacji procedur bezpieczeństwa. W dobie rosnącej liczby ataków na łańcuch dostaw i pracowników tymczasowych, ryzyko wycieku danych przez nieświadomego pracownika jest realne. Firmy powinny rozważyć wdrożenie szkoleń z zakresu OPSEC (Operational Security) oraz procedur zgłaszania podejrzanych kontaktów rekrutacyjnych.

Jak się bronić?

Przede wszystkim należy wdrożyć jasne zasady dotyczące kontaktów z nieznajomymi rekruterami. Pracownicy powinni być poinstruowani, aby nie udostępniać szczegółowych informacji o projektach, współpracownikach ani strukturze organizacji podczas rozmów kwalifikacyjnych. Weryfikacja tożsamości rekrutera – np. poprzez sprawdzenie, czy dana firma faktycznie istnieje i ma stronę internetową – powinna stać się standardem.

Działy HR i bezpieczeństwa mogą również monitorować, czy pracownicy nie otrzymują nietypowych ofert pracy na swoich profilach zawodowych. W przypadku podejrzenia próby werbunku, należy niezwłocznie zgłosić sprawę odpowiednim służbom – w Polsce jest to Agencja Bezpieczeństwa Wewnętrznego. Należy też pamiętać, że nawet odpowiedź na pozornie niewinne pytanie może być pierwszym krokiem do poważnego naruszenia bezpieczeństwa.

Ostrzeżenie Five Eyes pokazuje, że granica między cyberbezpieczeństwem a bezpieczeństwem narodowym zaciera się. Firmy, które do tej pory nie traktowały poważnie ryzyka werbunku przez obcy wywiad, powinny zweryfikować swoje procedury. W dłuższej perspektywie kluczowe jest budowanie kultury bezpieczeństwa, w której każdy pracownik wie, jakie informacje może ujawnić, a jakie powinny pozostać poufne.