Fałszywe alerty Meta: Jak oszuści przejmują konta Facebook Business wykorzystując zaufane usługi

Badacze z firmy Guardio odkryli rozległą kampanię phishingową wymierzoną w użytkowników Facebooka, a zwłaszcza w posiadaczy kont biznesowych. Atakujący nie polegali na typowych, łatwych do wychwycenia metodach – zamiast tego wykorzystali wiarygodne usługi, takie jak Google AppSheet, Netlify i Vercel, aby ominąć filtry antyspamowe i przejąć kontrolę nad kontami ofiar. Według szacunków Guardio liczba poszkodowanych przekroczyła 30 tysięcy.

Jak działał atak? Wiarygodność jako narzędzie oszustwa

Wszystko zaczynało się od e-maila, który wyglądał jak oficjalne powiadomienie z Meta. Treść informowała o naruszeniu polityki lub groźbie trwałego wyłączenia konta, co zmuszało odbiorców do szybkiej reakcji. Wiadomość nie trafiała do spamu – miała prawidłowe zabezpieczenia SPF, DKIM i DMARC, ponieważ została wysłana z serwerów Google AppSheet, platformy no-code służącej do automatyzacji workflow. Atakujący podszywali się pod nazwę nadawcy „Meta Support”, podczas gdy rzeczywisty adres to noreply@appsheet.com.

Jak opisują badacze w swoim raporcie, strona phishingowa była hostowana na Netlify lub Vercel – popularnych usługach hostingowych dla deweloperów. Każda ofiara otrzymywała unikalny link, co utrudniało blokowanie domen. Dane logowania, datę urodzenia, numer telefonu i zdjęcie dokumentu tożsamości przesyłano do atakujących za pośrednictwem bota Telegram. W nowszej wersji kampanii wykorzystano także Netlify Functions, co dodatkowo maskowało ruch.

Cztery warianty ataku – różne socjotechniki, ten sam cel

Guardio wyodrębnił cztery odmiany tej kampanii. W pierwszej ofiary otrzymywały ostrzeżenie o naruszeniu praw autorskich lub problemach ze znakami towarowymi. Strona phishingowa zbierała nie tylko login i hasło, ale także dane umożliwiające odzyskanie konta (data urodzenia, telefon, skan dowodu). Drugi wariant kusił – zamiast straszyć, proponował przyznanie znaczka weryfikacji na profilu. Strona wyglądała jak panel bezpieczeństwa Meta, wymagała przejścia przez captcha, a następnie zbierano dane kontaktowe, hasło i kody 2FA.

Trzeci wariant był szczególnie wyrafinowany. Link w e-mailu prowadził do pliku PDF przechowywanego na Google Drive. Grafika w pliku, stworzona w Canvie, udawała oficjalny komunikat Meta. Po kliknięciu ofiara trafiała na stronę phishingową, która komunikowała się z serwerem w czasie rzeczywistym za pomocą WebSocket. Atakujący mógł na bieżąco testować wprowadzane dane, żądać ponownego wpisania hasła lub dodatkowych dokumentów – znacznie zwiększając skuteczność przejęcia konta.

Ostatni wariant wykorzystywał fałszywe oferty pracy. Oszuści podszywali się pod rekruterów z Meta, Adobe, Apple czy Coca-Coli. Zamiast od razu kierować na stronę phishingową, starali się nakłonić ofiarę do kontynuowania rozmowy poza platformą, co pozwalało na stopniowe wyłudzanie danych.

Jak się bronić? Praktyczne zalecenia

Kampania ta pokazuje, że tradycyjne sygnały ostrzegawcze, takie jak sprawdzanie nagłówków e-maila czy linków, mogą być nieskuteczne, gdy atakujący korzystają z legalnych platform. Oto kilka konkretnych kroków, które warto wdrożyć:

• Nie ufaj samemu adresowi nadawcy. Nawet jeśli e-mail pochodzi z zaufanej domeny (jak appsheet.com), może być fałszywy. Sprawdzaj treść i dokładnie analizuj linki.
• Zawsze weryfikuj alerty bezpośrednio na stronie Meta. Zamiast klikać w link z e-maila, otwórz przeglądarkę i zaloguj się do swojego konta Facebook Ads Manager. Alarmy dotyczące naruszeń polityki znajdziesz w panelu powiadomień.
• Używaj unikalnych, silnych haseł i włącz dwuskładnikowe uwierzytelnianie (2FA). W przypadku tej kampanii atakujący kradli także kody 2FA, dlatego warto rozważyć użycie aplikacji uwierzytelniającej (np. Google Authenticator) zamiast SMS-ów.
• Uważaj na pliki PDF z Google Drive. Nie klikaj w linki osadzone w dokumentach, które otrzymujesz nieoczekiwanie – szczególnie jeśli pochodzą od nieznanych nadawców.
• Szkol siebie i swój zespół. W przypadku kont firmowych warto regularnie przypominać o zagrożeniach związanych z phishingiem. Jedno kliknięcie może narazić cały budżet reklamowy i dane klientów.

Jak podkreślają badacze Guardio, atakujący nieustannie udoskonalają metody, łącząc socjotechnikę z technicznymi sztuczkami. Wykorzystanie zaufanych usług (AppSheet, Netlify, Vercel) utrudnia automatyczną detekcję, dlatego kluczowa pozostaje czujność użytkowników. W przypadku otrzymania podejrzanego e-maila podszywającego się pod Meta warto zgłosić go do CERT Polska lub bezpośrednio do platformy. Działanie prewencyjne – zamiast reakcyjnego – to najlepsza ochrona przed tego typu kampaniami.

Więcej szczegółów na temat tej kampanii można znaleźć w raporcie Guardio, który opisał serwis Sekurak.