Phishing z AppSheet i Netlify: kampania, która ominęła spam i przejęła 30 tys. kont Facebook

Badacze z Guardio odkryli rozległą kampanię phishingową wymierzoną w użytkowników Facebooka, w której atakujący wykorzystali zaufane usługi chmurowe do ominięcia filtrów antyspamowych i przejęcia kontroli nad kontami ofiar. Według raportu opisanego na Sekuraku, szacowana liczba przejętych kont wynosi co najmniej 30 tysięcy. Kampania wyróżnia się nie tylko skalą, ale przede wszystkim sprytnym wykorzystaniem legalnych platform do hostowania stron phishingowych oraz wysyłki wiadomości e-mail.

Jak atakujący ominęli filtry antyspamowe?

Kluczowym elementem kampanii było użycie Google AppSheet – platformy no-code do automatyzacji workflow. Atakujący wysyłali maile z adresu noreply@appsheet.com, podmieniając jedynie nazwę nadawcy na „Meta Support”. Dzięki temu wiadomości przechodziły walidację SPF, DKIM i DMARC, a serwery Google gwarantowały, że nie trafią do spamu. Odbiorca widział profesjonalnie wyglądający alert o naruszeniu polityki lub wyłączeniu konta, z żądaniem kliknięcia w link.

Ofiary kierowano na strony phishingowe hostowane na Netlify i Vercel. Co ważne, dla każdej ofiary generowano unikalną subdomenę w Netlify – zablokowanie pojedynczego adresu URL nie chroniło przed kolejnymi, a wyłączenie całej domeny Netlify uniemożliwiłoby działanie legalnych stron. Badacze Guardio podkreślają, że kampania była podzielona na cztery odrębne warianty, różniące się socjotechniką i sposobem zbierania danych.

Cztery warianty ataku – od strachu po fałszywe oferty pracy

Wariant pierwszy opierał się na strachu: mail informował o naruszeniu praw autorskich lub wyłączeniu konta, a link prowadził do formularza odwołania zbierającego login, hasło, datę urodzenia, numer telefonu oraz zdjęcie dokumentu tożsamości. Zebrane dane umożliwiały nie tylko przejęcie konta, ale także wykorzystanie procedur odzyskiwania dostępu.

Wariant drugi stosował odwrotną taktykę – kusił ofiary nagrodą w postaci znaczka weryfikacji na profilu. Strony phishingowe, hostowane na Vercel, wyglądały jak „Security Check” lub „Meta Privacy Center”. Przed podaniem danych ofiara przechodziła fałszywą weryfikację captcha, co zwiększało pozory autentyczności. Atakujący zbierali login, hasło i kody 2FA, a w nazwach nadawców stosowali niewidoczne znaki Unicode, by utrudnić wykrycie przez systemy.

Wariant trzeci był najbardziej zaawansowany technicznie. Mail zawierał link do pliku PDF w Google Drive. Grafika w PDF, stworzona w Canva, udawała komunikat od Meta. Kliknięcie w link uruchamiało stronę phishingową, która utrzymywała stałe połączenie z serwerem atakującego przez WebSocket. Dzięki temu cyberprzestępcy mogli na bieżąco testować wprowadzane dane, żądać ponownego wpisania hasła lub dodatkowych kodów, a nawet wykonać zrzut ekranu przeglądarki ofiary (html2canvas).

Wariant czwarty to fałszywe oferty pracy – atakujący podszywali się pod rekruterów z WhatsApp, Meta, Adobe czy Apple. Zamiast od razu kierować na stronę, dążyli do interakcji poza platformą, stopniowo budując zaufanie ofiary. W nazwach marek zastępowano litery homoglifami, co czyniło je wizualnie identycznymi, ale trudniejszymi do wykrycia przez automatyczne skanery.

Eksfiltracja danych przez Telegram i Netlify Functions

W pierwszych dwóch wariantach skradzione dane przesyłano do kanałów Telegram za pomocą bota. JavaScript po stronie klienta zawierał token bota – choć zaciemniony, potencjalnie możliwy do odczytania przez ofiarę. W nowszej wersji kampanii atakujący przenieśli eksfiltrację na Netlify Functions, co oznacza, że dane przesyłane są przez serwery Netlify, a nie bezpośrednio z przeglądarki ofiary. To utrudnia blokowanie i analizę ruchu.

Badacze Guardio powiązali część wariantów z konkretną osobą na podstawie metadanych PDF oraz fragmentów kodu, co pokazuje, że za kampanią stoją konkretni sprawcy, a nie przypadkowi amatorzy.

Jak się bronić przed takimi atakami?

Kampania ta dowodzi, że nawet poprawne uwierzytelnienie SPF/DKIM/DMARC nie gwarantuje bezpieczeństwa – atakujący mogą korzystać z legalnych usług. Oto praktyczne zalecenia:

• Nie klikaj w linki z nieoczekiwanych wiadomości – nawet jeśli wyglądają jak alert od Meta, banku czy innej instytucji. Zawsze otwieraj przeglądarkę ręcznie i wpisuj adres samodzielnie.
• Sprawdzaj adres nadawcy – w przypadku AppSheet był to noreply@appsheet.com, a nie domena Meta. Nawet jeśli nazwa wyświetlana brzmi znajomo, możesz rozwinąć pole „Od:” w kliencie poczty.
• Włącz uwierzytelnianie wieloskładnikowe (MFA) z użyciem aplikacji generującej kody (np. Google Authenticator) lub klucza sprzętowego. Unikaj zapisywania kodów 2FA w chmurze.
• Regularnie przeglądaj urządzenia podłączone do konta – Facebook, podobnie jak Signal, pozwala sprawdzić, które sesje są aktywne. Usuwaj nieznane urządzenia.
• Edukuj siebie i zespół – kampanie wykorzystujące AppSheet, Canvę czy Netlify będą prawdopodobnie częstsze, ponieważ obniżają próg wejścia dla cyberprzestępców. Warto inwestować w regularne testy phishingowe.

Jeśli otrzymasz podejrzaną wiadomość od „Meta Support”, zgłoś ją do oficjalnego centrum pomocy Facebooka i przekaż informację do CERT Polska. Ochrona zaczyna się od świadomości – tej kampanii można było uniknąć, zachowując zdrową nieufność wobec każdej wiadomości żądającej pilnego działania. To, co wydaje się autentyczne, nie zawsze jest bezpieczne.