Fałszywe alerty Meta – jak atakujący wykorzystują wiarygodne usługi do kradzieży kont
Badacze Guardio odkryli kampanię phishingową, w której atakujący wykorzystują Google AppSheet, Netlify i Vercel do przejmowania kont Facebook. Szacowana liczba ofiar to co najmniej 30 tysięcy. Sprawdź, jak rozpoznać zagrożenie.
Oszuści nie muszą już tworzyć własnych serwerów ani kupować domen, by przeprowadzać skuteczne ataki phishingowe. Coraz częściej wykorzystują do tego zaufane, legalne usługi, które same w sobie nie budzą podejrzeń. Najnowszy przykład to kampania opisana przez badaczy z Guardio, w której atakujący przejmowali konta Facebook, wysyłając fałszywe alerty za pośrednictwem Google AppSheet, a strony phishingowe hostowali na Netlify i Vercel. Jak donosi Sekurak, szacowana liczba ofiar to co najmniej 30 tysięcy kont.
Jak działał atak? Wiarygodne maile i fałszywe strony
Ofiary otrzymywały wiadomość e-mail z adresu noreply@appsheet.com. Domena ta należy do Google AppSheet – platformy no-code do automatyzacji workflow i wysyłania powiadomień. Atakujący podmienili jedynie nazwę nadawcy na „Meta Support”, dzięki czemu wiadomość miała poprawnie skonfigurowane SPF, DKIM i DMARC. Nie trafiała do spamu, a do skrzynki odbiorczej.
Treść maila informowała o rzekomym naruszeniu polityki Facebooka: „Your Facebook account has been flagged for a policy violation. Case ID: 6480258166. Failure to respond within 24 hours will result in permanent disablement”. Link w wiadomości prowadził do strony phishingowej hostowanej na Netlify, która wyglądała jak oficjalny formularz odwoławczy Meta.
Badacze Guardio zidentyfikowali cztery główne warianty ataku. Oprócz groźby zamknięcia konta stosowano fałszywą weryfikację profilu (obiecującą niebieski znaczek), link do pliku PDF na Google Drive z grafiką stworzoną w Canvie oraz fałszywe oferty pracy rzekomo od WhatsApp, Meta, Adobe czy Apple.
Zaawansowane techniki: AiTM, WebSocket i boty Telegram
W przeciwieństwie do prostych stron phishingowych, które tylko zbierają login i hasło, ta kampania wykorzystywała bardziej wyrafinowane metody. W wariancie z fałszywą weryfikacją profilu atakujący stosowali technikę adversary-in-the-middle (AitM) – strona phishingowa działała jako proxy między ofiarą a prawdziwym serwerem Meta. Dzięki temu mogli przechwycić nie tylko hasło, ale także kod uwierzytelniania dwuskładnikowego (2FA) w czasie rzeczywistym.
W wariancie z plikiem PDF na Google Drive zastosowano jeszcze bardziej zaawansowane rozwiązanie. Strona phishingowa utrzymywała stałe połączenie WebSocket z serwerem atakujących. Oznacza to, że oszuści mogli na bieżąco sterować tym, co widzi ofiara – żądać ponownego wpisania hasła, prosić o zdjęcie dokumentu tożsamości, a nawet wykonać zrzut ekranu przeglądarki ofiary za pomocą narzędzia html2canvas.
Dane ofiar były przesyłane do kanałów Telegram, co pozwalało atakującym na natychmiastowe logowanie się na przejęte konta. W nowszej wersji kampanii eksfiltracja odbywała się przez Netlify Functions, co dodatkowo utrudniało wykrycie.
Jak się bronić przed tego typu atakami?
Kampania ta pokazuje, że nawet wiadomość z poprawnymi nagłówkami SPF, DKIM i DMARC może być phishingiem. Kluczowe znaczenie ma weryfikacja treści i kontekstu. Przed kliknięciem w link warto sprawdzić, czy adres strony faktycznie należy do Meta – prawdziwy adres to facebook.com lub meta.com, a nie podejrzana subdomena na Netlify.
Warto również włączyć uwierzytelnianie dwuskładnikowe (2FA) z użyciem aplikacji generującej kody (np. Google Authenticator) zamiast SMS, ponieważ kody SMS mogą być przechwycone. W przypadku kont firmowych Facebook Business zaleca się korzystanie z fizycznych kluczy bezpieczeństwa (U2F/FIDO2).
Jeśli otrzymasz wiadomość o naruszeniu polityki, nie klikaj w link. Zamiast tego zaloguj się bezpośrednio na stronie Facebooka i sprawdź powiadomienia w ustawieniach konta. Prawdziwe alerty Meta pojawiają się również w centrum pomocy na stronie, a nie tylko w mailu.
Co dalej? Obserwuj rozwój kampanii
Badacze Guardio podkreślają, że kampania wciąż ewoluuje. Atakujący testują nowe warianty i dostosowują się do blokad. W kodzie stron phishingowych znaleziono nawet rosyjskojęzyczną umowę, w której autor zrzeka się odpowiedzialności za nielegalne działania i zakazuje używania narzędzi przeciwko systemom w Rosji. Sugeruje to, że kampania może być prowadzona przez zorganizowaną grupę, a nie pojedynczego oszusta.
Dla użytkowników Facebooka i Facebook Business najważniejsze jest zachowanie czujności i stosowanie zasady ograniczonego zaufania – nawet wobec wiadomości, które wyglądają wiarygodnie. W przypadku wątpliwości lepiej skontaktować się z pomocą techniczną Meta bezpośrednio przez oficjalne kanały.
