Fałszywe alerty Meta: phishing przez Google AppSheet i Netlify zagraża kontom Facebook

W ostatnich tygodniach na polskich skrzynkach e-mail pojawiły się fałszywe wiadomości podszywające się pod Meta (Facebook). Atakujący wykorzystują legalne usługi, takie jak Google AppSheet, Netlify i Vercel, by ominąć filery antyspamowe i wyłudzić dane logowania oraz kody 2FA. Według badaczy z Guardio ofiarą tej kampanii padło co najmniej 30 tysięcy kont. Każdy użytkownik Facebooka, zwłaszcza osoby zarządzające kontami biznesowymi, powinien znać mechanizmy tego oszustwa.

Wiarygodne narzędzia w służbie oszustów

Atak rozpoczyna się od e-maila wysłanego z adresu noreply@appsheet.com. Domena ta należy do Google, a wiadomość przechodzi wszystkie standardowe kontrole bezpieczeństwa (SPF, DKIM, DMARC). Nadawca widnieje jako „Meta Support”, ale w rzeczywistości to atakujący wykorzystali Google AppSheet – platformę no-code do automatyzacji powiadomień – do wysyłki phishingowych treści. Jak podkreślają badacze z Guardio opisani przez Sekuraka, wiadomość trafia do skrzynki odbiorczej zamiast do spamu, co znacząco zwiększa skuteczność ataku.

Treść maila informuje o naruszeniu polityki Facebooka i grozi trwałym wyłączeniem konta w ciągu 24 godzin. Ofiara ma kliknąć link, który prowadzi do strony phishingowej hostowanej na Netlify lub Vercel. Każda ofiara otrzymuje unikalną subdomenę, co utrudnia blokowanie linków przez systemy bezpieczeństwa.

Cztery warianty ataku – od strachu po nagrodę

Guardio wyodrębniło cztery grupy kampanii, różniące się socjotechniką, lecz łączone przez wykorzystanie AppSheet. W pierwszym wariancie atakujący bazują na strachu: fałszywe naruszenie praw autorskich, problemy ze znakami towarowymi lub wyłączenie konta. Strona phishingowa zbiera nie tylko login i hasło, ale też datę urodzenia, numer telefonu, a nawet zdjęcie dokumentu tożsamości. Badacze odkryli, że do klonowania stron używano narzędzia HTTrack, a dane były początkowo przesyłane przez bota Telegram, a w nowszej wersji – przez Netlify Functions.

Drugi wariant to kuszenie nagrodą: ofiara otrzymuje zaproszenie do weryfikacji profilu w zamian za znaczek weryfikacyjny. Strony phishingowe zawierają captchę, by wyglądać wiarygodnie, a następnie zbierają dane kontaktowe, login, hasło (z wymuszonym ponownym wpisaniem dla pewności) oraz kody 2FA. Atakujący stosują tu unikowe techniki – w treści maila używają niewidocznych znaków Unicode i łamią słowa, by utrudnić detekcję przez systemy antyphishingowe.

Trzeci wariant jest szczególnie przebiegły: e-mail zawiera link do pliku PDF na Google Drive. Grafika w PDF-ie, stworzona w Canva, udaje komunikat Meta. Ofiara klika link w środku PDF-a, a strona phishingowa komunikuje się z serwerem przez WebSocket. Atakujący może na bieżąco modyfikować treść strony – testować dane logowania, żądać ponownego wpisania kodu 2FA czy dodatkowych dokumentów. To zdecydowanie zwiększa szanse na przejęcie konta.

Fałszywe oferty pracy i homoglify

Czwarta grupa to oszustwa rekrutacyjne. Atakujący podszywają się pod rekruterów z WhatsApp, Meta, Adobe, Pinterest czy Apple. Zamiast od razu kierować na stronę phishingową, dążą do kontynuowania rozmowy poza platformą, stopniowo budując zaufanie. Jak zauważa Guardio, w nazwach marek stosowane są homoglify – znaki wizualnie identyczne z literami (np. cyrylica zamiast łaciny), co pozwala ominąć filtry tekstowe. To trudniejszy do wykrycia wariant, bo wymaga kilkuetapowej interakcji z ofiarą.

Badacze przypisali wszystkie te warianty jednej kampanii dzięki powtarzalnym elementom: adres nadawcy z AppSheet, użycie Telegrama do eksfiltracji danych oraz zaciemnione tokeny botów w JavaScript. Szacują, że atak dotknął przynajmniej 30 tysięcy kont.

Jak się bronić?

Przede wszystkim należy zachować czujność na maile dotyczące bezpieczeństwa konta, nawet jeśli pochodzą z wiarygodnych domen. Meta nigdy nie prosi o hasło, kod 2FA ani dokument tożsamości w wiadomości e-mail. Jeśli otrzymasz alert, zaloguj się bezpośrednio na stronie facebook.com, nie korzystając z linków w mailu.

Włącz dwuskładnikowe uwierzytelnianie (2FA) z aplikacją generującą kody, a nie z SMS-em. Regularnie sprawdzaj listę urządzeń i sesji na swoim koncie Facebook – jeśli widzisz nieznane urządzenie, natychmiast je wyloguj. Dla administratorów kont biznesowych warto rozważyć szkolenia z rozpoznawania phishingu oraz stosowanie dedykowanych narzędzi do filtracji wiadomości wychodzących z zaufanych domen AppSheet czy Netlify.

Kampania opisana przez Guardio pokazuje, że cyberprzestępcy coraz sprawniej wykorzystują zaufane usługi do omijania zabezpieczeń. Edukacja użytkowników i podstawowe procedury weryfikacji pozostają najskuteczniejszą bronią.