La finestra di accesso a Facebook era l'immagine di una finestra di accesso a Facebook
Avete mandato una candidatura a Meta. Un recruiter vi invia un link Calendly. Scegliete uno slot di trenta minuti per una telefonata, inserite i vostri dati, superate qualcosa che sembra un CAPTCHA, e la pagina vi chiede di accedere a Facebook. Poco dopo vuole anche il vostro account Google, per sicurezza. Tutto questo è finto, tranne le credenziali che avete appena consegnato.
Malwarebytes ha documentato la campagna il 14 ottobre. La pagina di prenotazione è una copia curata di quella di Calendly, intitolata Calendly | Meta Careers, con la vista mensile e il selettore di fuso orario al posto giusto. Il trucco sta nella finestra di Facebook: è disegnata dentro la pagina di reclutamento, con pulsanti del browser dipinti e una barra degli indirizzi che riporta facebook.com. La vostra barra degli indirizzi vera, intanto, mostra ancora qualcosa come joinhire.cfd o jointheteam.works. I ricercatori hanno trovato undici di quei domini.
L'autenticazione a due fattori non vi salva. La pagina mantiene una connessione in tempo reale con il server degli attaccanti, quindi il codice che digitate viene usato sul Facebook vero in pochi secondi, prima che scada. Può anche far partire la richiesta sul telefono, il che significa che toccando approva sul vostro stesso dispositivo li fate entrare. Gli account collegati a una pagina aziendale o a un account pubblicitario sono quelli che interessano davvero.
La difesa non ha niente di spettacolare. Non fidatevi mai di una finestra di accesso comparsa dentro un'altra pagina. Provate a trascinarla: una finestra vera del browser si muove indipendentemente dalla pagina dietro, l'immagine di una finestra no. Oppure aprite facebook.com da soli in una nuova scheda e guardate se risultate già collegati. Anche le passkey aiutano, perché non c'è nessun codice che possano convincervi a cedere. Il controllo privacy e account di Tendvane passa in rassegna il modo in cui accedete a Windows e quali protezioni dell'account sono attive adesso.