Fałszywe alerty Meta: jak oszuści wykorzystują legalne platformy do kradzieży kont

Oszuści coraz częściej wykorzystują zaufane i powszechnie używane platformy internetowe do przeprowadzania ataków phishingowych. Zamiast tworzyć własną, podejrzaną infrastrukturę, ukrywają swoje działania za legalnymi serwisami, co utrudnia ich wykrycie zarówno użytkownikom, jak i systemom bezpieczeństwa. Ostatnio opisana kampania wymierzona w użytkowników Facebooka pokazuje, jak groźne mogą być takie ataki i jakie dane są w stanie wyłudzić.

Kampania wykorzystująca Google AppSheet, Netlify i Vercel

Badacze z Guardio odkryli serię ataków phishingowych, w których kluczową rolę odegrały legalne narzędzia. Atak rozpoczynał się od wiadomości e-mail wysłanej za pośrednictwem Google AppSheet – platformy no-code do automatyzacji workflow. Dzięki temu wiadomość miała poprawny SPF, DKIM i DMARC, a jej nadawcą widniał adres noreply@appsheet.com. Oszuści zmieniali jedynie nazwę nadawcy na „Meta Support”, przez co e-mail trafiał do skrzynki odbiorczej ofiary, a nie do spamu.

W treści wiadomości znajdowały się różne komunikaty – od ostrzeżeń o naruszeniu praw autorskich, przez informacje o wyłączeniu konta, aż po fałszywe oferty pracy. Łączyło je jedno: link lub załącznik prowadzący do strony phishingowej. Jak wynika z analizy Guardio, atakujący wykorzystali do hostowania tych stron usługi Netlify i Vercel, które są popularnymi platformami do hostowania aplikacji webowych. Co więcej, dla każdej ofiary generowano unikalną subdomenę w Netlify, co pozwalało omijać listy blokad.

Ekosystem przejmowania kont – cztery warianty ataku

Kampania nie ograniczała się do jednego schematu. Badacze wyodrębnili cztery główne warianty, z których każdy stosował inną socjotechnikę, ale prowadził do tego samego celu – przejęcia konta ofiary.

Pierwszy wariant polegał na wywołaniu strachu. Ofiary otrzymywały wiadomość o naruszeniu praw autorskich lub wyłączeniu konta. Strona phishingowa, oprócz nazwy użytkownika i hasła, wyłudzała datę urodzenia, numer telefonu, a nawet zdjęcie dokumentu tożsamości. Drugi wariant kusił nagrodą – fałszywą weryfikacją profilu lub znaczkiem potwierdzającym autentyczność. Strony phishingowe wyglądały jak oficjalne formularze Meta, a dodatkowo wymagały podania kodów 2FA.

Trzeci wariant był szczególnie wyrafinowany. Ofiara dostawała e-mail z linkiem do pliku PDF na Google Drive. W środku znajdowała się grafika stworzona w Canvie, udająca oficjalny komunikat. Kluczowym elementem była tutaj możliwość sterowania atakiem w czasie rzeczywistym za pomocą WebSocket – oszust mógł na bieżąco sprawdzać poprawność danych i żądać dodatkowych kroków. Czwarty wariant polegał na fałszywej ofercie pracy, gdzie atakujący podszywali się pod znane firmy i dążyli do interakcji poza platformą.

Skala i konsekwencje – od botów Telegram po homoglify

We wszystkich wariantach dano wyłudzone przesyłano za pomocą botów Telegram, co umożliwiało atakującym błyskawiczne logowanie się na przejęte konta. Badacze szacują liczbę ofiar na co najmniej 30 tysięcy kont. Co więcej, atakujący stosowali techniki utrudniające wykrycie – używali homoglifów (znaków zastępujących litery, wyglądających identycznie) oraz zaciemniali nazwy zmiennych w kodzie JavaScript, by ukryć tokeny botów.

Warto podkreślić, że sama kampania była tylko wierzchołkiem góry lodowej. Jak zauważają badacze, w ramach jednego ekosystemu przejmowania kont Facebook korzystano z wielu różnych usług. Sugeruje to, że atakujący mieli dobrze zorganizowane zaplecze techniczne i konsekwentnie rozwijali swoje metody.

Jak się bronić – praktyczne wskazówki

Przede wszystkim należy zachować czujność przy każdej wiadomości, która wymaga pilnego działania lub podania danych logowania. Legalne usługi, takie jak Google AppSheet, Netlify czy Vercel, mogą być wykorzystane przez oszustów – sam fakt, że wiadomość ma poprawny SPF i DKIM, nie gwarantuje jej autentyczności. Zawsze warto sprawdzić adres nadawcy, a nie tylko wyświetlaną nazwę.

W przypadku otrzymania alertu od Meta lub innej platformy, należy otworzyć jej stronę bezpośrednio w przeglądarce, a nie klikać w link z e-maila. Warto też włączyć uwierzytelnianie dwuskładnikowe (2FA), choć – jak pokazuje kampania – nawet ono może zostać ominięte, jeśli ofiara dobrowolnie poda kod. Ostateczną ochroną jest świadomość, że nikt, nawet wsparcie techniczne, nie poprosi o hasło ani kod 2FA w wiadomości e-mail.

Ataki tego typu będą ewoluować, a oszuści będą szukać kolejnych legalnych narzędzi do swoich celów. Dlatego warto śledzić doniesienia o nowych kampaniach phishingowych i regularnie przypominać sobie podstawowe zasady bezpieczeństwa.