Fałszywe alerty Meta i 30 tys. przejętych kont. Jak działa phishing na wiarygodnych usługach
Badacze Guardio odkryli kampanię phishingową, w której atakujący wykorzystali Google AppSheet, Netlify i Vercel do przejmowania kont Facebook. Ofiarą padło co najmniej 30 tys. użytkowników. Podpowiadamy, jak rozpoznać zagrożenie.
„Your Facebook account has been flagged for a policy violation” – taką wiadomość otrzymało wiele osób posiadających konta Facebook Business. Mail wyglądał wiarygodnie, miał poprawny SPF, DKIM i DMARC, a do tego trafiał do skrzynki odbiorczej zamiast do spamu. Jak to możliwe? Został wysłany z serwerów Google, za pomocą usługi Google AppSheet.
Badacze z firmy Guardio odkryli cały ekosystem ataków phishingowych wymierzonych w użytkowników Facebooka. Wykorzystano w nich nie tylko AppSheet, ale również Netlify, Vercel, Canva i Google Drive. Szacowana liczba ofiar to co najmniej 30 tys. kont. Sprawa pokazuje, że nawet zaufane platformy mogą stać się narzędziem w rękach oszustów.
Cztery warianty jednego oszustwa
Raport Guardio szczegółowo opisuje cztery grupy ataków. W pierwszym wariancie ofiary otrzymywały informację o naruszeniu praw autorskich lub wyłączeniu konta. Link prowadził do fałszywego formularza odwołania hostowanego na Netlify. Atakujący zbierali nie tylko login i hasło, ale też datę urodzenia, numer telefonu i zdjęcie dokumentu tożsamości – wszystko, czego potrzeba do przejęcia konta i procedury odzyskiwania dostępu.
Drugi wariant stosował odwrotną socjotechnikę: zamiast straszyć blokadą, kusił nagrodą w postaci znaczka weryfikacji profilu. Strony phishingowe hostowano na Vercel. Co ciekawe, atakujący utrudniali wykrycie maili, wstawiając w nazwy nadawców niewidoczne spacje (Unicode hair space) i łamiąc słowa w treści.
„Badacze znaleźli również ślady wykorzystania przez atakujących narzędzia HTTrack (program do klonowania stron internetowych). Niektóre strony były klonowane z szablonów hostowanych na Vercel i ponownie wdrażane na Netlify.”
Trzeci wariant był szczególnie wyrafinowany. Mail zawierał link do pliku PDF umieszczonego na Google Drive. W środku grafika stworzona w Canvie udawała komunikat od Meta. Strona phishingowa korzystała z WebSocketów, co pozwalało atakującym na bieżąco sterować tym, co widzi ofiara – mogli testować wpisywane dane logowania i żądać dodatkowych kroków. Ostatni wariant to fałszywe oferty pracy od rzekomych rekruterów z WhatsApp, Meta czy Adobe.
Dlaczego to działało? Mechanizm omijania zabezpieczeń
Kluczowym elementem kampanii było wykorzystanie Google AppSheet – platformy no-code do automatyzacji workflow. Atakujący wysyłali maile z adresu noreply@appsheet.com, podmieniając jedynie nazwę nadawcy na „Meta Support”. Ponieważ domena appsheet.com należy do Google, wszystkie mechanizmy uwierzytelniania poczty (SPF, DKIM, DMARC) przechodziły pomyślnie. Wiadomości nie trafiały do spamu.
Do hostowania stron phishingowych używano Netlify i Vercel, czyli usług powszechnie stosowanych do hostowania legalnych aplikacji. Dla każdej ofiary generowano unikalną subdomenę, co uniemożliwiało proste blokowanie pojedynczego linku. Dane ofiar przesyłano początkowo przez bota Telegram, później za pomocą Netlify Functions, co dodatkowo utrudniało wykrycie.
Jak się bronić przed takimi atakami?
Przede wszystkim warto zachować sceptycyzm wobec każdej wiadomości, która wywołuje presję czasu lub grozi konsekwencjami. Jeśli otrzymasz mail o naruszeniu zasad konta, nie klikaj w link – wejdź na stronę Facebooka bezpośrednio z przeglądarki i sprawdź powiadomienia w ustawieniach konta.
Zwracaj uwagę na adres nadawcy, nie tylko na wyświetlaną nazwę. W opisanej kampanii nadawcą był noreply@appsheet.com, a nie domena meta.com. Włącz uwierzytelnianie wieloskładnikowe (MFA) i korzystaj z aplikacji do generowania kodów, a nie z SMS-ów. Jeśli to możliwe, używaj kluczy bezpieczeństwa lub phishing-resistant MFA.
Nie podawaj nigdzie zdjęcia dowodu osobistego ani innych dokumentów tożsamości, chyba że masz absolutną pewność co do wiarygodności strony. Pamiętaj, że Meta ani żaden bank nie poprosi Cię o takie dane przez formularz na stronie trzeciej.
Co dalej? Skala problemu i wnioski
Kampania opisana przez Guardio pokazuje, że atakujący doskonale wiedzą, jak wykorzystać zaufanie do popularnych usług. Badacze powiązali część wariantów z konkretną osobą na podstawie metadanych PDF oraz fragmentów kodu. To dowód, że nawet dobrze zamaskowane ataki mogą zostawiać cyfrowe ślady.
Dla przeciętnego użytkownika najważniejsza jest zasada ograniczonego zaufania: nie ufaj mailom tylko dlatego, że przeszły filtry antyspamowe. Zawsze weryfikuj informacje w oficjalnym kanale, najlepiej przez bezpośrednie logowanie do serwisu. Operatorzy platform takich jak Netlify czy Google mogą wzmocnić monitorowanie pod kątem phishingu, ale pełna ochrona wymaga również świadomości odbiorców.
