Fałszywe alerty Meta: kampania phishingowa wykorzystująca AppSheet i Netlify

Badacze z Guardio odkryli rozległą kampanię phishingową wymierzoną w użytkowników Facebooka, w której atakujący sprytnie wykorzystali zaufane usługi, takie jak Google AppSheet, Netlify, Vercel, Canva i Google Drive. Jak podają w swoim raporcie, szacowana liczba ofiar wynosi co najmniej 30 tys. kont. Kampania pokazuje, jak cyberprzestępcy omijają standardowe zabezpieczenia poczty, podszywając się pod Meta i wykorzystując legalne platformy do wysyłki wiadomości oraz hostowania stron phishingowych.

Jak działał atak? Wiarygodność zamiast podejrzanych linków

Wszystko zaczynało się od e-maila wysłanego z adresu noreply@appsheet.com. Domena appsheet.com należy do Google i jest używana w platformie no-code do automatyzacji workflow. Wiadomość informowała o naruszeniu polityki Facebooka i groziła trwałym zablokowaniem konta w ciągu 24 godzin. Dzięki wykorzystaniu serwerów Google wiadomości miały poprawny SPF, DKIM i DMARC, dlatego trafiały do skrzynki odbiorczej, a nie do spamu. Jedynym elementem podmienionym była nazwa nadawcy – wyświetlana jako „Meta Support”.

Cztery warianty phishingu – od strachu po fałszywe oferty pracy

Badacze wyodrębnili cztery główne grupy ataków w ramach tej kampanii. W pierwszym wariancie ofiary otrzymywały informację o naruszeniu praw autorskich lub wyłączeniu konta. Link prowadził do strony hostowanej na Netlify, gdzie zbierano nie tylko login i hasło, ale także datę urodzenia, numer telefonu i zdjęcie dokumentu tożsamości. Atakujący stosowali unikalne subdomeny w Netlify dla każdej ofiary, co utrudniało blokowanie linków.

Drugi wariant stosował odwrotną socjotechnikę – zamiast straszyć, kusił nagrodą w postaci znaczka weryfikacji profilu. Strony phishingowe hostowano na Vercel, a proces rozpoczynał się od fałszywej captchy. Zbierano dane kontaktowe, hasło (z wymuszonym ponownym wpisaniem) oraz kody 2FA. W tym wariancie atakujący dodatkowo utrudniali wykrycie przez systemy antyphishingowe, używając w nazwach nadawców niewidocznych spacji Unicode oraz łamiąc słowa w treści maila.

Trzeci wariant był szczególnie wyrafinowany. E-mail zawierał link do pliku PDF hostowanego na Google Drive. W środku znajdowała się grafika stworzona w Canva, udająca komunikat od Meta. Po kliknięciu linku ofiara trafiała na stronę, która utrzymywała stałe połączenie WebSocket z serwerem atakujących. Dzięki temu mogli oni na bieżąco sterować atakiem – testować wprowadzone dane logowania, żądać ponownego wpisania lub dodatkowych kroków, a nawet wykonać zrzut ekranu strony w przeglądarce ofiary.

Czwarty wariant to fałszywe oferty pracy. Atakujący podszywali się pod rekruterów z WhatsApp, Meta, Adobe czy Apple. Zamiast kierować na stronę phishingową, dążyli do interakcji poza platformą, stopniowo budując zaufanie ofiary. W nazwach marek stosowano homoglify – znaki wizualnie identyczne z oryginalnymi, ale różne w kodzie, co utrudniało automatyczne wykrycie.

Rola botów Telegram i ewolucja kampanii

W pierwszych dwóch wariantach dane ofiar przesyłane były do kanałów Telegram za pomocą botów. Atakujący mogli obserwować je w czasie rzeczywistym i natychmiast logować się na przejęte konta. W nowszej wersji kampanii eksfiltracja odbywała się przez Netlify Functions, co dodatkowo utrudniało śledzenie. Badacze Guardio podkreślają, że atakujący nieustannie udoskonalali swoje metody – od prostych botów Telegram po zaawansowane mechanizmy WebSocket i zaciemnianie kodu JavaScript.

Jak się bronić? Praktyczne wskazówki

Kampania ta pokazuje, że nawet wiadomości z poprawnymi nagłówkami SPF/DKIM/DMARC mogą być phishingowe. Kluczowe jest zachowanie czujności i weryfikacja nadawcy – jeśli e-mail pochodzi z domeny appsheet.com, a nie facebook.com czy meta.com, to sygnał ostrzegawczy. Nigdy nie klikaj w linki prowadzące do formularzy logowania poza oficjalną stroną Facebooka. Włącz dwuskładnikowe uwierzytelnianie (2FA) i korzystaj z menedżera haseł, który automatycznie rozpoznaje fałszywe strony. Jeśli otrzymasz podejrzaną wiadomość, zgłoś ją do Meta i nie podawaj żadnych danych osobowych.

Więcej szczegółów na temat tej kampanii można znaleźć w raporcie Guardio opublikowanym na Sekuraku. Warto śledzić tego typu analizy, aby być na bieżąco z nowymi technikami stosowanymi przez cyberprzestępców.