Encontramos uma onda de sites que se fazem passar por páginas de agendamento do Calendly para entrevistas de emprego no Meta. Os visitantes escolhem um horário para uma chamada telefônica de 30 minutos com um recrutador, preenchem seus dados e passam por um sistema que parece ser um CAPTCHA.
Em seguida, a página pede que eles façam login em Facebook .
A entrevista é falsa. As páginas foram criadas para roubar a atenção do visitante. Facebook Os dados de login, incluindo os códigos de autenticação de dois fatores (2FA) destinados a proteger a conta, são coletados. Em seguida, os visitantes são solicitados a fazer login também em sua conta do Google, supostamente "por segurança".
Estas páginas não são afiliadas à Meta, Calendly ou Google. Se você já inseriu uma senha ou aprovou uma solicitação de login, proteja as contas afetadas imediatamente. Veja "Como se manter seguro" abaixo.
Por que o Calendly é um disfarce convincente
O Calendly é uma ferramenta de agendamento muito utilizada, inclusive por recrutadores para marcar entrevistas. Clicar em um link de agendamento, escolher um horário e digitar seu nome e e-mail é algo que as pessoas fazem sem pensar duas vezes. Não é preciso criar uma conta nem baixar nada.
Essa rotina a torna um bom disfarce. Quando a página pede algo incomum, o visitante já escolheu um horário e compartilhou seus dados. Seguir mais uma etapa pode parecer mais fácil do que começar a duvidar de tudo.
Para alguém que já enviou currículo após currículo sem obter resposta, um convite para uma entrevista na Meta pode ser exatamente o tipo de mensagem que espera. A empolgação e o medo de perder uma oportunidade rara podem levar as pessoas a agirem rapidamente em vez de verificarem quem realmente enviou o link.
Quem procura emprego também está acostumado a compartilhar informações pessoais com desconhecidos. Fornecer seu nome, e-mail e número de telefone a um recrutador que você nunca conheceu é uma parte normal do processo de candidatura, então um formulário que os solicite pode não levantar suspeitas.
Uma entrevista de emprego que começa com um calendário.
A página falsa copia a tela de agendamento do Calendly, intitulada “Calendly | Meta Careers”. Ela exibe um calendário mensal, um seletor de fuso horário e uma opção de “Chamada telefônica” de 30 minutos. Os horários disponíveis são carregados do servidor dos atacantes, de modo que o calendário se parece com a agenda de um recrutador real.
Após o visitante escolher um horário, a página o guia por uma série de etapas:
- Seus dados. Um formulário solicita seu nome, endereço de e-mail e número de telefone, além de qualquer informação que "possa nos ajudar a preparar nossa reunião".
- Um CAPTCHA falso. Uma grade de imagens pede que você " Select Todas as imagens com… Isso faz com que a página pareça legítima e também pode impedir que scanners de segurança automatizados vejam o que vem a seguir.
- Login Facebook . Uma janela dentro da página copia Facebook página de login. Ela até desenha sua própria barra de endereço falsa mostrando um Facebook O endereço web é formatado para parecer um pop-up legítimo de navegador. O texto inclui mensagens de erro realistas, como "As informações de login inseridas estão incorretas". A página também solicita que os visitantes criem um "Perfil de Carreira".
- Seu código de segurança Facebook . Se a conta tiver autenticação de dois fatores (2FA) ativada, a página solicitará o código do seu aplicativo de autenticação, mensagem de texto, WhatsApp ou e-mail.
- Um login do Google. A página afirma “ Facebook exige que você faça login no endereço do Gmail” da sua conta. Para fazer com que a solicitação pareça inofensiva, a página acrescenta que “ Facebook “Não compartilharemos nenhum dos seus dados com sua Conta do Google.” Telas falsas do Google, novamente sob uma barra de endereço falsa, solicitam sua senha e, em seguida, o que o Google pedir: um toque em um aviso no celular, um código do Google Authenticator, um código por SMS ou seu endereço de e-mail de recuperação. Tudo o que você digita nessas telas, incluindo a senha do Google, é enviado para o servidor de coleta dos invasores.
- Uma confirmação falsa. Por fim, a página informa que um convite para o calendário foi enviado e que você receberá uma resposta em até 90 minutos. Quando você começa a desconfiar, os invasores podem já ter invadido suas contas.
Como o golpe consegue burlar a autenticação de dois fatores
Muitas páginas de phishing simplesmente coletam uma senha e param. Esta continua.
Enquanto o visitante está na página, o sistema fica se comunicando com o servidor dos atacantes e aguardando instruções sobre qual tela exibir em seguida. Isso permite que os atacantes tentem usar a senha roubada no site real. Facebook site imediatamente. Se Facebook A página falsa pede um código ao visitante, e os atacantes podem usá-lo antes que expire. Se o código não funcionar, a página simplesmente exibe a mensagem “Código incorreto. Tente novamente.”
As telas do Google suportam a mesma abordagem. Se o Google enviar uma solicitação de login para o celular do visitante, a página falsa pode instruí-lo a "tocar em Sim", potencialmente aprovando o login dos invasores.
O visitante vê a página falsa enquanto os atacantes tentam fazer login no serviço verdadeiro sem serem vistos.
Códigos e avisos por telefone ainda dificultam bastante a invasão de contas, então mantenha-os ativados. Mas um código inserido em uma página falsa, ou um aviso aprovado para o login de outra pessoa, pode permitir o acesso de invasores. Senhas e chaves de segurança de hardware compatíveis estão vinculadas ao site legítimo, portanto, uma página falsa como essa não pode retransmiti-las da mesma forma. Essa proteção não ajudará se você optar por uma alternativa com senha e código e fornecer esses dados aos invasores.
Sinais de um kit de phishing reutilizável
O código contém um número de versão (0.8.0), registro detalhado de erros e uma “chave de campanha” enviada com cada mensagem para o servidor dos atacantes. Esses recursos sugerem um kit reutilizável com suporte para identificar diferentes campanhas.
O endereço de coleta usa Amazon API Gateway na região de Singapura da AWS, ap-southeast-1Um comentário deixado no código está escrito em vietnamita. A tradução é:
“Altere a chave aqui ao implantar em produção.”
Nem a região de hospedagem nem o idioma de um comentário no código estabelecem quem está por trás das páginas ou onde elas operam.
Facebook Contas, especialmente aquelas vinculadas a páginas comerciais ou contas de anúncios, são valiosas para criminosos. A invasão da conta do Google também pode expor e-mails e outros dados, permitindo que invasores redefinam senhas de contas vinculadas a esse endereço.
Os domínios são outro sinal de alerta. Todos os 11 seguem o mesmo padrão: join mais uma palavra que soe como recrutamento, como joinhire, joinquestou jointheteam, no .cfd, .infoe .works Domínios de nível superior. Nenhum menciona Calendly ou Meta. Esses nomes genéricos também poderiam ser reutilizados para atrair candidatos a vagas de emprego de outras empresas.
Como se manter seguro
- Confira o endereço, não o design. Os links diretos para reservas no Calendly utilizam...
calendly.comEmbora formulários legítimos também possam estar incorporados em outros sites, considere um domínio de recrutamento desconhecido como um motivo para verificar o convite de forma independente. - Não forneça sua senha Facebook para uma página de agendamento. Agendar uma ligação não exige que você entregue sua senha de mídia social a um recrutador. Se um fluxo de agendamento repentinamente solicitar que você faça login em outro lugar, verifique tanto a solicitação quanto o domínio de login em si.
- Observe a barra de endereço real do seu navegador. Esses logins falsos... windows desenham suas próprias barras de endereço mostrando Facebook ou endereços web do Google. Para uma janela pop-up separada, verifique o endereço exibido pelo próprio navegador. Uma janela de login que não pode ser arrastada para fora da página web pode fazer parte da página em vez de ser uma janela separada do navegador.
- Verifique o recrutador e a vaga. Acesse diretamente o site oficial de carreiras da empresa. Um anúncio de emprego genuíno não garante que a pessoa que está entrando em contato com você represente a empresa, portanto, confirme convites inesperados por meio de um contato independente.
- Não compartilhe códigos nem aceite solicitações inesperadas. Insira o código apenas no serviço legítimo para o login que você iniciou. Nunca aceite uma solicitação por telefone só porque um recrutador ou página de reservas pede para você fazer isso.
- Use senhas ou chaves de segurança sempre que possível. Elas resistem a esse tipo de phishing. Desconfie se uma página insistir para que você use uma senha e um código.
- Já inseriu uma senha ou aprovou uma solicitação? Em um dispositivo confiável, acesse diretamente o serviço afetado e altere sua senha. Encerre outras sessões e verifique seus métodos de segurança, e-mail de recuperação e número de telefone. Se ambas as contas foram afetadas, proteja sua conta do Google imediatamente, pois o acesso ao e-mail pode ajudar invasores a redefinir outras senhas. Verifique o Gmail em busca de regras de encaminhamento e filtros desconhecidos e revise quaisquer alterações. Facebook Páginas comerciais ou contas de anúncios que você gerencia. Altere a senha em qualquer outro lugar onde você a tenha reutilizado.
- Teve sua conta bloqueada? Use o suporte de recuperação de conta da Meta ou o guia para contas comprometidas do Google . Se você compartilhou apenas seus dados de contato, fique atento a golpes subsequentes que os utilizam para parecerem convincentes.
Como Malwarebytes
Malwarebytes Browser Guard pode bloquear sites de phishing e golpes antes mesmo de você interagir com eles. Isso é importante em campanhas como esta, em que a página imita fielmente um serviço que as pessoas usam diariamente.
Se você receber um link para uma entrevista e não tiver certeza sobre ele, Malwarebytes Scam Guard pode ajudar a avaliar o link antes de você clicar.
Indicadores de comprometimento
Domínios de phishing
joinconnect[.]cfdjoinconnect[.]worksjoinhire[.]cfdjoinhire[.]infojoinquest[.]cfdjoinquest[.]infojoinquest[.]worksjointhetalent[.]cfdjointhetalent[.]infojointhetalent[.]worksjointheteam[.]cfd
Ponto final de coleta
rkrt01c0mc[.]execute-api[.]ap-southeast-1[.]amazonaws[.]com
Impedir que as ameaças causem qualquer dano.
Browser Guard Malwarebytes Browser Guard páginas de phishing e sites maliciosos automaticamente. É gratuito e se instala com um clique. Adicione-o ao seu navegador →
