Фишинговые страницы Meta Careers крадут учётные данные Facebook и Google
Фишинговая кампания нацелена на соискателей: поддельные страницы Meta Careers в стиле Calendly имитируют планирование собеседования и собирают учётные данные Facebook (социальная сеть, принадлежащая запрещённой в России и признанной экстремистской американской корпорации Meta) и Google. Сначала страницы запрашивают имя, адрес электронной почты, номер телефона и сведения о встрече. На этом этапе может появиться поддельная CAPTCHA, которая придаёт странице легитимный вид и потенциально затрудняет автоматизированное сканирование средствами защиты.
Затем на веб-странице появляются поддельные формы входа в Facebook и Google. Окно Facebook показывает сфабрикованную адресную строку браузера и реалистичные сообщения об ошибках, а также запрашивает пароль и коды двухфакторной аутентификации, полученные через приложение-аутентификатор, SMS, WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) или электронную почту. Страница может запрашивать и сведения для создания предполагаемого профессионального профиля.
После этого пользователю сообщают, что Facebook требует подтвердить адрес Gmail, и показывают похожую последовательность входа в Google. Жертву могут попросить ввести пароль Google, подтвердить запрос на вход с телефона, указать код из приложения-аутентификатора или SMS либо раскрыть адрес электронной почты для восстановления доступа. Введённые данные передаются на контролируемый злоумышленником сервер сбора данных. Это может привести к захвату учётной записи и потенциальному обходу многофакторной аутентификации с помощью техник атаки «злоумышленник посередине».
По имеющимся данным, инфраструктура использует Amazon API Gateway в сингапурском регионе AWS, ap-southeast-1. Комментарии на вьетнамском языке в коде фишинга указывают на вероятное повторное использование фишингового комплекта. Скомпрометированные аккаунты Facebook могут дать доступ к бизнес-страницам и рекламным аккаунтам. Доступ к аккаунтам Google может раскрыть электронную почту и облегчить сброс паролей в других сервисах.
Неожиданные ссылки, связанные с наймом, а также запросы паролей от социальных сетей или кодов аутентификации следует считать вредоносными. Авторы отчёта рекомендуют независимо проверять рекрутера, проверять фактический адрес страницы в браузере и не подтверждать несанкционированные запросы на вход. Тем, кто уже передал учётные данные, следует сменить пароли с доверенного устройства, завершить другие сеансы, проверить настройки восстановления и правила пересылки, защитить связанные аккаунты и изучить активность в Facebook Business и рекламных аккаунтах.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
