La ventana de inicio de sesión de Facebook era una imagen de una ventana de inicio de sesión de Facebook

Ha enviado una candidatura a Meta. Un reclutador le manda un enlace de Calendly. Elige una franja de treinta minutos para una llamada, rellena sus datos, supera algo que parece un CAPTCHA y la página le pide que entre en Facebook. Un momento después quiere también su cuenta de Google, por seguridad. Todo eso es falso salvo las credenciales que acaba de entregar.

Malwarebytes documentó la campaña el 14 de octubre. La página de reserva es una copia cuidada de la de Calendly, titulada Calendly | Meta Careers, con la vista mensual y el selector de zona horaria en su sitio. El truco está en la ventana de Facebook: está dibujada dentro de la página de empleo, con botones de navegador pintados y una barra de direcciones que pone facebook.com. Su barra de direcciones real sigue mostrando algo como joinhire.cfd o jointheteam.works. Los investigadores encontraron once de esos dominios.

La verificación en dos pasos no le salva aquí. La página mantiene una conexión en vivo con el servidor del atacante, así que el código que escribe se usa en el Facebook auténtico en cuestión de segundos, antes de que caduque. También puede lanzar el aviso al teléfono, lo que significa que pulsar aprobar en su propio dispositivo les abre la puerta. Las cuentas asociadas a una página de empresa o a una cuenta publicitaria son las que realmente buscan.

La defensa no tiene nada de espectacular. No se fíe nunca de una ventana de inicio de sesión que ha aparecido dentro de otra página. Intente arrastrarla: una ventana de navegador real se mueve con independencia de la página que hay detrás, una imagen no. O abra usted mismo facebook.com en una pestaña nueva y compruebe si ya tiene la sesión iniciada. Las passkeys también ayudan, porque no hay ningún código que puedan sacarle. La comprobación de privacidad y cuentas de Tendvane repasa cómo inicia sesión en Windows y qué protecciones de cuenta están activas ahora mismo.