Fałszywe alerty Meta: jak oszuści wykorzystują zaufane usługi do kradzieży kont
Badacze ujawnili rozbudowaną kampanię phishingową wymierzoną w użytkowników Facebooka. Atakujący wykorzystują legalne platformy, takie jak Google AppSheet, Netlify czy Canva, by ominąć filery antyspamowe i przejąć konta ofiar. Wyjaśniamy, jak działa to oszustwo i jak się przed nim bronić.
Oszuści nieustannie szukają nowych sposobów na ominięcie zabezpieczeń poczty elektronicznej. Najnowsza kampania phishingowa, opisana przez badaczy z Guardio, pokazuje, że atakujący coraz chętniej sięgają po legalne i powszechnie zaufane narzędzia, by uśpić czujność ofiar. Tym razem celem są użytkownicy Facebooka, a w szczególności osoby zarządzające kontami firmowymi. Skala jest znacząca – według badaczy oszustwo mogło dotknąć co najmniej 30 tysięcy kont.
Jak działa atak? Zaufane narzędzia w służbie phishingu
Wszystko zaczyna się od wiadomości e-mail, która na pierwszy rzut oka wygląda jak oficjalne powiadomienie od Meta. Treść informuje o naruszeniu polityki i grozi trwałym zablokowaniem konta, jeśli użytkownik nie zareaguje w ciągu 24 godzin. Kluczowe jest jednak, że wiadomość nie trafia do spamu – ma poprawnie skonfigurowane uwierzytelnianie SPF, DKIM i DMARC. Dlaczego? Ponieważ została wysłana z serwerów Google, a konkretnie za pośrednictwem usługi Google AppSheet.
Jak wyjaśniają badacze z Guardio, atakujący wykorzystali AppSheet – platformę no-code do automatyzacji workflow – do masowej wysyłki maili z adresu noreply@appsheet.com. Podmienili jedynie nazwę nadawcy na „Meta Support”, co sprawiło, że wszystkie techniczne parametry wiadomości pozostały wiarygodne. W efekcie filtry antyspamowe przepuściły je bez przeszkód.
Link zawarty w mailu prowadził do strony phishingowej hostowanej na Netlify – popularnej platformie do hostowania stron i aplikacji webowych. Co istotne, dla każdej ofiary generowano unikalną subdomenę, co utrudniało blokowanie pojedynczego adresu URL. Strona do złudzenia przypominała panel logowania Facebooka, a po wprowadzeniu loginu i hasła ofiara była proszona o podanie dodatkowych danych, takich jak data urodzenia, numer telefonu, a nawet zdjęcie dokumentu tożsamości.
Cztery warianty jednego oszustwa
Badacze zidentyfikowali cztery główne warianty kampanii, różniące się zarówno socjotechniką, jak i użytymi narzędziami:
- Groźba zamknięcia konta – wiadomość informuje o naruszeniu praw autorskich lub problemach ze znakami towarowymi. Link prowadzi do formularza odwołania na Netlify.
- Fałszywa weryfikacja profilu – zamiast straszyć, oszuści kuszą możliwością uzyskania niebieskiego znaczka weryfikacji. Strona phishingowa hostowana na Vercel zbiera dane logowania i kody 2FA.
- PDF z Google Drive – wiadomość zawiera link do pliku PDF na Google Drive. W środku grafika stworzona w Canvie udaje komunikat Meta, a kliknięcie w nią prowadzi do zaawansowanej strony phishingowej z obsługą WebSocket, umożliwiającej atakującym bieżące sterowanie atakiem.
- Fałszywa oferta pracy – oszuści podszywają się pod rekruterów znanych firm, takich jak Meta, Adobe czy Apple. Celem jest nawiązanie bezpośredniej interakcji i stopniowe wyłudzanie danych.
We wszystkich wariantach skradzione dane trafiały do atakujących za pośrednictwem botów Telegram. Badacze odkryli, że w kodzie JavaScript stron phishingowych zaciemniono tokeny botów, co utrudniało ich identyfikację.
Jak się bronić? Praktyczne wskazówki
Kampania ta pokazuje, że nawet wiarygodnie wyglądająca wiadomość może być próbą oszustwa. Oto kilka zasad, które pomogą uniknąć zagrożenia:
- Sprawdzaj adres nadawcy – nawet jeśli nazwa wyświetlana brzmi „Meta Support”, kliknij w nią, by zobaczyć rzeczywisty adres e-mail. Jeśli pochodzi z domeny innej niż meta.com lub facebook.com, zachowaj ostrożność.
- Nie klikaj w linki z wiadomości – zamiast tego zaloguj się do swojego konta Facebook bezpośrednio przez oficjalną stronę lub aplikację. Sprawdź powiadomienia w centrum pomocy.
- Włącz uwierzytelnianie dwuskładnikowe (2FA) – używaj aplikacji uwierzytelniającej, a nie SMS. To utrudni przejęcie konta nawet w przypadku kradzieży hasła.
- Regularnie sprawdzaj urządzenia i sesje – w ustawieniach Facebooka możesz zobaczyć, jakie urządzenia mają dostęp do Twojego konta. Usuń te, których nie rozpoznajesz.
- Zgłaszaj podejrzane wiadomości – jeśli otrzymasz podejrzanego maila, możesz go zgłosić do CERT Polska za pomocą formularza na stronie incydent.cert.pl lub w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”.
Warto również pamiętać, że Meta nigdy nie prosi o podanie hasła, kodu weryfikacyjnego ani danych dokumentu tożsamości za pośrednictwem wiadomości e-mail. Każda taka prośba powinna wzbudzić czujność.
Kampania opisana przez Guardio to kolejny przykład, jak oszuści adaptują sprawdzone techniki do nowych narzędzi. Wykorzystanie legalnych platform do hostowania treści phishingowych powoduje, że tradycyjne filery antyspamowe mogą być nieskuteczne. Dlatego kluczową rolę odgrywa świadomość użytkowników i zdrowy sceptycyzm wobec nieoczekiwanych wiadomości, nawet jeśli wyglądają na oficjalne.
