Badacze odkryli długotrwałą operację phishingową, która wykorzystuje zaufane usługi Google do przechwytywania dziesiątek tysięcy Facebook konta.
Skompromitowany Facebook konta to głównie profile firm i reklamodawców, które przestępcy mogą monetyzować po uzyskaniu dostępu i kontroli.
Atakujący znaleźli sposób na wysyłanie wiadomości phishingowych, które „przechodzą przez Google”, dzięki czemu na pierwszy rzut oka wydają się wiarygodne. Wiadomości te są wysyłane za pośrednictwem platformy AppSheet firmy Google, dzięki czemu przechodzą standardowe kontrole techniczne (SPF, DKIM, DMARC), a wiele filtrów pocztowych traktuje je jako zaufane.
Google AppSheet to platforma programistyczna, która umożliwia tworzenie aplikacji mobilnych i internetowych bez konieczności pisania kodu. Pozwala ona na automatyzację procesów roboczych i powiadomień, co zazwyczaj wykorzystuje się do wysyłania alertów generowanych przez aplikacje oraz wewnętrznych aktualizacji.
I właśnie w tym miejscu oszuści wykorzystali tę lukę. Nazwę nadawcy można dowolnie dostosować, a adres nadawcy może wyglądać mniej więcej tak: noreply@appsheet.com, dostarczane za pośrednictwem appsheet.bounces.google.comDla przeciętnego użytkownika wygląda to jak zupełnie normalne powiadomienie, w takich przypadkach często o Facebook naruszenia zasad, skargi dotyczące praw autorskich lub problemy z weryfikacją.
Badacze powiązali te wiadomości e-mail z operacją powiązaną z Wietnamem, która doprowadziła już do naruszenia około 30 000 kont Facebook konta i jest nadal aktywny.
Skradzione konta to głównie strony i profile biznesowe o wartości finansowej: konta reklamowe, strony marek i firmy, które polegają na Facebook W celach marketingowych. Po dostaniu się do środka atakujący dokonują oszustw, umieszczają fałszywe reklamy lub sprzedają dostęp innym osobom. W niektórych przypadkach ta sama grupa oferuje usługi „odzyskiwania kont”, aby rozwiązać problemy, które sami stworzyli.
Oszustwo czy uczciwa oferta? Scam Guard to wie.
Bez względu na przynętę, cel jest ten sam: Facebook Dane uwierzytelniające, kody 2FA i dane odzyskiwania. Strony phishingowe to tylko punkt wejścia. Za nimi kryje się dość przemysłowa infrastruktura zbudowana wokół botów Telegrama i kanałów służących do gromadzenia i przetwarzania skradzionych danych.
Jak zachować bezpieczeństwo
Ta kampania to nie „kolejny zwykły e-mail phishingowy”. To kolejny przykład tego, jak cyberprzestępcy wykorzystują zaufanie, jakim darzymy największe platformy.
Facebook nie wysyła skarg, próśb o weryfikację, kontroli bezpieczeństwa, ofert pracy ani innych pilnych wiadomości za pośrednictwem infrastruktury Google.
- Każdy e-mail, który Cię rości Facebook Lub Instagram Konto, które ma zostać wyłączone, zablokowane lub ukarane, zasługuje na szczególną uwagę, zwłaszcza jeśli wymaga podjęcia działań w ciągu 24 godzin.
- Jeśli otrzymasz niepokojącą wiadomość dotyczącą swojego konta, przejdź bezpośrednio na stronę facebook.com lub Facebook aplikacji. Nie klikaj linków w wiadomości.
- Jeśli w formularzu proszą Cię jednocześnie o podanie hasła, kilku kodów 2FA, daty urodzenia, numeru telefonu i zdjęć do dokumentu tożsamości, to lepiej się zatrzymaj. To właśnie ten „kompletny zestaw do odzyskania dostępu” jest potrzebny atakującym, by przejąć Twoje konto.
- Skonfiguruj uwierzytelnianie dwuskładnikowe na Facebook i ustaw powiadomienia o logowaniu dla nowych urządzeń i lokalizacji.
- Zachowaj ostrożność w przypadku nietypowych wiadomości od Facebook konta. Samo konto może zostać naruszone.
Wskazówka: Malwarebytes Scam Guard pomoże Ci wykryć e-maile i wiadomości phishingowe na dowolnej platformie. Możesz go używać nawet w Claude i ChatGPT .
