كشفت كاسبرسكي عن مخطط تصيد احتيالي مقلق يستهدف الموظفين ويهدد أمن أنظمة الشركات، حيث يتظاهر هذا المخطط المضلل بأنه نموذج تقييم ذاتي قادم من أقسام الموارد البشرية في الشركات، ولكنه في الواقع يمتلك مخططات خبيثة لسرقة المعلومات، ونادراً ما تطلب المنظمات الكبيرة من موظفيها الإدلاء بأفكارهم عن طموحاتهم المهنية، أو مجالات اهتمامهم، أو إنجازاتهم خارج دورهم الوظيفي. وإن حدث ذلك، عادة ما تجري مثل هذه المناقشات مرة واحدة في السنة أثناء مراجعات الأداء.
ترك ذلك في العديد من الموظفين الرغبة في التواصل أكثر مع إدارة شركاتهم. وهذا ما استغله مجرمو الإنترنت في أحدث مخطط تصيد احتيالي اكتشفته كاسبرسكي، عندما يتلقى الموظفون رسالة إلكترونية تدعوهم للمشاركة في تقييم ذاتي، وخاصة إذا ادّعت أن المشاركة إلزامية، فغالباً ما ينتهزون الفرصة دون تردد، ويتركون بذلك الفرصة التي يستغلها مجرمو الإنترنت في آخر حملاتهم للتصيد الاحتيالي الموجه.
تعتمد فكرة هذا المخطط الاحتيالي على تصميم مجرمي الإنترنت لرسائل إلكترونية تظهر بشكل مقنع كأنها صادرة من أقسام الموارد البشرية، حيث تعرض هذه الرسائل على الموظفين تعبئة نموذج للتقييم الذاتي كوسيلة للتواصل مع مديريهم. ولكن على الرغم من أنها مقنعة للوهلة الأولى، تظهر هذه الرسائل المضللة علامات واضحة تكشف التصيد الاحتيالي.
أولاً، لا يتوافق عنوان البريد الإلكتروني للمرسِل مع عناوين البريد الإلكتروني الخاصة بالشركة وموظفيها، مما يثير الشبهات منذ البداية.
ثانياً، تضغط هذه الرسائل على الموظفين وتصر على أنه يجب على الجميع إكمال النموذج بحلول نهاية اليوم، وهو أسلوب شائع يستخدمه المحتالون لخلق شعور بالضرورة، وعندما ينقر المستلمون على الرابط المُقدم في الرسالة، سيجدون أسئلة تبدو بريئة وغير خطرة للوهلة الأولى، ولكن تتضح نيات المخطط الحقيقية في الأسئلة الثلاث الأخيرة، والتي تطلب عنوان البريد الإلكتروني للضحية، وكلمة مروره، بالإضافة لتأكيد كلمة المرور.
تقوم هذه المقاربة المضللة بمباغتة الضحايا لأنها تؤخر طلب المعلومات الحساسة إلى الجزء الأخير من العملية، كما أنها تخفي عبارة كلمة مرور لتجنب اكتشافها وإضافة المزيد من التعقيد لعملية الاحتيال.
يعقّب رومان ديدنوك، الخبير الأمني لدى كاسبرسكي، على الأمر قائلاً: "نحن نحث موظفي الشركات على التزام جانب الحذر عندما يستقبلون رسائلاً إلكترونية كتلك، وبالأخص تلك التي تشابه طريقة تواصل فرق الموارد البشرية، ومن المهم لحماية بياناتهم أن يقوم الموظفون بالتحقق من مصداقية أي طلبات تقييم ذاتي غير متوقعة بشكل مباشر مع قسم الموارد البشرية في شركاتهم"