Il punto non è un semplice phishing: il pretesto di assunzione porta l’accesso iniziale su persone che già amministrano sistemi e reti, quindi un singolo contatto può aprire molto più di una postazione. In una campagna attribuita a UAC-0145, collegato a Sandworm, il bersaglio sono soprattutto system administrator e specialisti IT ucraini.
Gli attaccanti mantengono la conversazione nei canali di recruiting, poi spostano la vittima su una verifica tecnica che richiede di installare un client VPN. Quel software, creduto parte del processo di selezione, può eseguire comandi sulla macchina e trasformare un colloquio in un punto di esecuzione sotto controllo avversario.
CERT-UA indica che la campagna è in corso da maggio 2026. Per i team che assumono personale IT privilegiato, il rischio è che un canale d’ingresso da ufficio, non da email, si traduca in accesso a sistemi interni o a punti di contatto con la supply chain.