Big Brand Jobs Scam: Serangan Browser-in-the-Browser Manipulasi Profesional Marketing Lewat Lowongan Kerja Palsu
Daftar Isi 21 bagian
Ringkasan Eksekutif
Pada Juli 2026, peneliti Will Thomas dari Team Cymru mengidentifikasi kampanye phishing yang dijuluki “Big Brand Jobs Scam” — sebuah operasi yang secara spesifik menargetkan profesional marketing dan komunikasi dengan menyamar sebagai rekruter dari lebih dari 30 brand global, termasuk Coca-Cola, Netflix, OpenAI, American Airlines, dan Louis Vuitton.
Yang membedakan kampanye ini dari phishing konvensional adalah penggunaan platform enterprise sah sebagai infrastruktur serangan. Email dikirim melalui PeopleForce (platform HR management berbasis cloud), link redirect melalui Salesforce Marketing Cloud, dan landing page dihosting di Netlify — semuanya platform dengan reputasi bersih. Puncaknya: kredensial Google korban dicuri melalui teknik Browser-in-the-Browser (BitB), popup login palsu yang dirender sepenuhnya dengan HTML/CSS dan tidak bisa dibedakan dari popup OAuth Google yang asli.
Mengapa Serangan Ini Unik
Perbandingan dengan Phishing Tradisional
| Aspek | Phishing Tradisional | Big Brand Jobs Scam |
|---|---|---|
| Email Source | Domain palsu, freemail | PeopleForce (platform HR sah) |
| Link Redirect | Phishing kit murah | Salesforce ExactTarget + Netlify |
| Landing Page | Template generik | Halaman karir yang meyakinkan |
| Credential Theft | Fake login form | Browser-in-the-Browser popup |
| Target | Massal (spray and pray) | Profesional marketing spesifik |
| Detection Bypass | Rendah | Tinggi (semua platform sah) |
Rantai Kepercayaan
Serangan ini membangun rantai kepercayaan bertingkat:
[EMAIL] Dari PeopleForce (platform HR sah)
│ SPF/DKIM/DMARC valid [OK]
▼
[LINK] Melewati Salesforce Marketing Cloud (platform sah)
│ URL redirect dari subdomain trusted [OK]
▼
[HOSTING] Dihosting di Netlify (platform sah)
│ HTTPS valid, tidak ada warning browser [OK]
▼
[PHISH] Browser-in-the-Browser popup — indistinguishable dari asli
Tidak ada perbedaan visual dengan Google login asli [OK]
Anatomi Rantai Serangan
Tahap 1: Email Phishing dari Platform HR Sah
Korban menerima email yang dikirim melalui PeopleForce — platform HR management system berbasis cloud yang sah dan banyak digunakan oleh perusahaan global.
From: "Sarah Chen, Talent Acquisition" <noreply@peopleforce.io>
Subject: Interview Invitation: Marketing Director at Coca-Cola
Reply-To: sarah.chen@cocacola-careers.com
Dear [Nama Target],
We came across your profile and believe your experience in
brand marketing aligns perfectly with an exciting opportunity
at Coca-Cola.
We have scheduled a preliminary interview for you. Please use
the link below to confirm your availability and complete the
pre-screening form.
[Schedule Your Interview →]
Best regards,
Sarah Chen
Talent Acquisition Partner
Coca-Cola Company
Email ini tampak 100% legitimate karena:
- Dikirim dari PeopleForce — domain dan IP sah
- SPF, DKIM, DMARC semuanya valid
- Format profesional dengan detail personal
- Target spesifik — nama, posisi, dan perusahaan yang relevan
Tahap 2: Nested Redirect melalui Salesforce ExactTarget
Tautan “Schedule Your Interview” tidak mengarah langsung ke halaman phishing. Sebaliknya, ia melewati Salesforce Marketing Cloud (ExactTarget):
# Redirect chain
GET https://click.salesforce.com/track?cid=abc123&url=https://...
→ 302 Redirect
GET https://netlify.app/interview-portal/cocacola
→ 200 OK (Halaman phishing)
Redirect melalui Salesforce memberikan legitimasi tambahan — security scanner melihat domain Salesforce yang terpercaya, bukan domain phishing.
Tahap 3: Landing Page di Netlify
Halaman phishing dihosting di Netlify — platform hosting statis yang sah dengan HTTPS otomatis:
- Tampilan profesional meniru portal karir brand target
- Logo, warna, dan tipografi sesuai brand guidelines
- Formulir pre-screening palsu untuk mengumpulkan data tambahan
- Tombol “Sign in with Google” untuk melanjutkan ke “sistem penjadwalan wawancara”
Tahap 4: Browser-in-the-Browser (BitB) Attack
Ketika korban mengklik “Sign in with Google”, halaman menampilkan popup palsu yang dibuat 100% dengan HTML/CSS — terlihat identik dengan popup Google OAuth yang sah.
Teknik Browser-in-the-Browser (BitB)
Apa Itu Browser-in-the-Browser?
Browser-in-the-Browser (BitB) adalah teknik phishing di mana penyerang membuat jendela popup palsu menggunakan HTML, CSS, dan JavaScript di dalam halaman web — mensimulasikan jendela browser terpisah yang sebenarnya merupakan elemen halaman.
Perbedaan dengan Fake Login Form Konvensional
# Fake Login Form (Konvensional)
┌─────────────────────────────┐
│ Website Phishing │
│ ┌─────────────────────┐ │
│ │ Email: [___________] │ │ ← Form di dalam halaman
│ │ Pass: [___________] │ │ ← URL terlihat: phishing.com
│ │ [Sign In with Google]│ │
│ └─────────────────────┘ │
└─────────────────────────────┘
# Browser-in-the-Browser (BitB)
┌─────────────────────────────┐
│ Website Phishing │
│ │
│ ┌────────────────────────┐ │
│ │ accounts.google.com [X] │ │ ← Popup tampak terpisah
│ │ ┌────────────────────┐ │ │ ← URL bar palsu dengan
│ │ │ Email or phone │ │ │ domain accounts.google.com
│ │ │ [________________] │ │ │
│ │ │ [Next] │ │ │
│ │ └────────────────────┘ │ │
│ └────────────────────────┘ │
└─────────────────────────────┘
Kode Teknis BitB
Struktur DOM popup BitB yang dirender dalam halaman phishing:
**DIV.google-auth-popup**
**DIV.popup-header**
| | SPAN.popup-url = "https://accounts.google.com" | |
| | SPAN.popup-close = "X" | |
**DIV.popup-body**
| | IMG.google-logo = "google-logo.svg" | |
| | H2 = "Sign in" | |
| | P = "to continue to Coca-Cola Careers Portal" | |
| | INPUT[type=email].placeholder = "Email or phone" | |
| | BUTTON = "Next" | |
Karena seluruh popup dirender dalam halaman, **tidak ada perbedaan visual** yang bisa dideteksi oleh pengguna awam. URL bar palsu di bagian atas popup menampilkan `accounts.google.com` — memberikan ilusi legitimasi penuh.
### Mengapa BitB Efektif
1. **Tidak ada popup browser asli** — tidak bisa dicek dengan klik kanan "Inspect Element"
2. **Animasi identik** — transisi, delay, dan behavior mouse meniru popup asli
3. **Responsive** — menyesuaikan ukuran dan posisi berdasarkan viewport
4. **Dark mode support** — mengikuti preferensi tema sistem korban
5. **Tidak ada CORS/security warning** — karena semua terjadi dalam origin yang sama
## Daftar Brand yang Diimpersonasi
Peneliti Team Cymru mengidentifikasi **lebih dari 30 domain impersonasi** untuk brand global:
### Teknologi & Konsultan
- Adobe
- McKinsey & Company
- OpenAI
- Aquent
### Consumer Goods & Makanan
- Coca-Cola
- PepsiCo
- Red Bull
### Travel & Penerbangan
- American Airlines
- United Airlines
- Delta Air Lines
- Booking.com
### Luxury & Retail
- Louis Vuitton
- Adidas
- Sephora
### Entertainment & Olahraga
- Netflix
- FIFA
### Lainnya
- Marriott International
- Omnicom Group
- ManpowerGroup
## Infrastruktur: Penyalahgunaan Platform Sah
### Arsitektur Serangan
**INFRASTRUCTURE MAP**
**INFRASTRUCTURE**
- [EMAIL DELIVERY]
PeopleForce (peopleforce.io)
- Akun trial/perusahaan fiktif
- Mengirim email rekrutmen palsu
- [REDIRECT CHAIN]
Salesforce ExactTarget (click.salesforce.com)
- Tracking URL yang me-redirect ke Netlify
- [HOSTING]
Netlify (netlify.app)
- Static site deployment
- HTTPS otomatis
- [CREDENTIAL HARVESTING]
Browser-in-the-Browser popup
- Kredensial dikirim ke C2 attacker
- [EXFILTRATION]
Telegram Bot API
- Notifikasi real-time setiap kredensial dicuri
### Mengapa Platform Ini Dipilih
Setiap platform dipilih karena karakteristik yang mendukung evasi:
| Platform | Keunggulan untuk Attacker |
|---|---|
| PeopleForce | Domain legitimate; email tidak di-flag sebagai spam |
| Salesforce ExactTarget | Redirect dari domain trusted; analytics tracker sah |
| Netlify | Deploy instan, HTTPS gratis, domain netlify.app terpercaya |
| Telegram | Notifikasi real-time, enkripsi, sulit dilacak |
## Dampak: Lebih dari Sekadar Kredensial Google
### Risiko Langsung
Ketika kredensial Google dicuri, attacker memperoleh:
1. **Akses ke Gmail** — seluruh komunikasi profesional terbaca
2. **Akses ke Google Drive** — dokumen internal, proposal klien, strategi marketing
3. **Akses ke Google Workspace** — kalender, kontak, spreadsheet internal
4. **Akses SSO** — jika perusahaan menggunakan Google sebagai identity provider
5. **Session persistence** — session cookies memungkinkan akses bahkan setelah password diganti
### Risiko Tidak Langsung
**RISIKO KASKADE**
**RISIKO**
1. Kredensial Google dicuri 2. Attacker membaca email untuk memetakan organisasi 3. Attacker menemukan email invoice/keuangan 4. Attacker mengirim instruksi pembayaran palsu ke finance 5. Dana ditransfer ke rekening attacker
6. Attacker menggunakan akses untuk spear-phishing internal
7. Kompromi merambat ke seluruh organisasi
### Nilai Data Profesional Marketing
Profesional marketing adalah target bernilai tinggi karena mereka:
- Memiliki akses ke **brand assets** dan **campaign strategies**
- Berkomunikasi dengan **klien eksternal dan agency partner**
- Sering memiliki akses ke **social media account brand** (verified accounts)
- Menangani **data pelanggan** dan **marketing analytics**
- Memiliki akses ke **budget iklan digital** (Google Ads, Meta Ads)
## Mengapa Profesional Marketing Menjadi Target
### Konteks Pasar Kerja 2026
Pasar kerja untuk profesional marketing pada 2026 sangat kompetitif — dengan otomatisasi AI yang menggantikan banyak peran entry-level. Kondisi ini menciptakan **kerentanan psikologis** yang dieksploitasi oleh attacker:
1. **Tone mendesak** — "Slot interview terbatas, konfirmasi dalam 24 jam"
2. **Brand prestige** — "Kesempatan di Coca-Cola/Netflix/OpenAI"
3. **Personalisasi AI** — email yang disesuaikan dengan profil LinkedIn target
4. **Proses rekrutmen meyakinkan** — multi-tahap seolah profesional
### AI-Generated Personalization
Attacker menggunakan AI untuk menghasilkan email yang sangat personal:
```txt
Hi [Nama],
I noticed your recent campaign for [nama klien/perusahaan target]
on [platform sosial] — the approach to [spesifik strategi] was
particularly impressive. We're looking for someone with exactly
that kind of creative thinking at [Brand].
Our [posisi] role involves [deskripsi yang relevan dengan
pengalaman target]. Given your background in [spesifik skill],
I think you'd be a strong fit.
Tingkat personalisasi ini — dimungkinkan oleh AI — membuat email hampir tidak bisa dibedakan dari email rekrutmen asli.
Indikator Serangan
Red Flags untuk Pengguna
- URL popup tidak bisa dipindahkan ke luar jendela browser — popup BitB terikat pada halaman
- Tidak bisa klik kanan di URL bar — URL bar palsu tidak mendukung interaksi browser
- Password manager tidak mengisi otomatis — BitB popup tidak dikenali sebagai form login asli
- Tidak ada ikon gembok interaktif — sertifikat SSL di URL bar palsu tidak bisa diklik
- Email dari rekruter tidak dikenal — verifikasi melalui LinkedIn atau website resmi perusahaan
Indikator Teknis
# Deteksi BitB — JavaScript fingerprint
indicators:
- window.opener === null # Popup asli selalu punya opener
- document.referrer === "" # Popup asli punya referrer
- navigator.userAgent tidak berubah # Popup asli bisa berbeda UA
- Tidak ada event 'beforeunload' # Popup asli trigger event ini
# Network indicators
network:
- c2_domains:
- "cocacola-careers.com" # Domain impersonasi
- "netflix-talent.com"
- "adidas-recruitment.com"
- exfiltration_endpoint: "/api/auth/callback"
Rekomendasi Mitigasi
Untuk Individu
- Verifikasi rekruter — cek profil LinkedIn, kirim email ke domain perusahaan resmi
- Jangan klik link dalam email rekrutmen — buka website karir perusahaan secara manual
- Tes popup Google login — coba pindahkan popup ke monitor kedua (BitB tidak bisa)
- Gunakan password manager — tidak akan mengisi kredensial di BitB popup
- Aktifkan FIDO2 security key — hardware token tidak bisa di-phishing dengan BitB
Untuk Organisasi
# Rekomendasi mitigasi organisasi
email_security:
- flag_emails_from_recruitment_platforms: true
- quarantine_emails_with_nested_redirects: true
- dmarc_policy: "p=reject"
endpoint_security:
- deploy_browser_isolation: true
- block_newly_registered_domains: true
- monitor_credential_harvesting_patterns: true
identity_protection:
- enforce_phishing_resistant_mfa: true # FIDO2/WebAuthn
- monitor_impossible_travel: true
- alert_on_suspicious_oauth_grants: true
employee_awareness:
- train_on_bitb_detection: true
- simulate_bitb_phishing_in_exercise: true
- include_recruitment_scam_in_awareness: true
Panduan Cepat Deteksi BitB
# 5 Detik Tes untuk Verifikasi Popup Google Login
1. Coba drag popup ke luar jendela browser
[x] Bisa → Popup asli
[!] Tidak bisa → BitB (Peringatan!)
2. Klik kanan pada URL bar popup
[x] Ada menu konteks → Popup asli
[!] Tidak ada reaksi → BitB (Peringatan!)
3. Cek apakah password manager mengisi otomatis
[x] Terisi → Popup asli
[!] Tidak terisi → BitB (Peringatan!)
Kesimpulan
Big Brand Jobs Scam merepresentasikan evolusi phishing ke level yang sangat mengkhawatirkan. Dengan mengombinasikan platform enterprise sah (PeopleForce, Salesforce, Netlify), personalisasi berbasis AI, dan teknik Browser-in-the-Browser yang canggih, kampanye ini mampu menembus pertahanan email tradisional dan mengelabui profesional berpengalaman sekalipun.
Sistem keamanan email tradisional tidak lagi cukup. SPF, DKIM, dan DMARC tidak membantu ketika email dikirim dari domain PeopleForce yang sah melalui infrastruktur Salesforce yang terpercaya. Pertahanan harus bergeser ke deteksi behavioral — memantau pola redirect yang tidak wajar, mendeteksi struktur DOM BitB, dan menganalisis konteks email di luar header teknis.
Verifikasi manual tetap menjadi pertahanan terakhir yang paling dapat diandalkan. Popup BitB tidak bisa dipindahkan ke luar jendela browser, tidak merespons klik kanan pada URL bar, dan tidak dikenali oleh password manager. Tiga tes sederhana ini — drag popup, klik kanan URL, cek autofill — bisa membedakan popup asli dari yang palsu dalam hitungan detik.
FIDO2 security key menghilangkan vektor BitB sepenuhnya. Hardware token tidak bisa di-phishing karena autentikasi terikat ke origin website yang sah. Dalam lanskap di mana popup login palsu semakin sulit dibedakan dari yang asli, phishing-resistant MFA berbasis hardware adalah jawaban yang paling definitif.
Ketika lowongan kerja dari Coca-Cola atau Netflix masuk ke inbox, reaksi pertama seharusnya bukan kegembiraan — melainkan verifikasi. Satu klik tanpa verifikasi bisa berarti seluruh identitas digital profesional hilang dalam hitungan menit.
Artikel ini disusun berdasarkan analisis Will Thomas (Team Cymru), Dark Reading, BleepingComputer, Security Boulevard (Juli 2026), serta pemantauan tim Threat Intelligence Seraphim News.
