Okno logowania do Facebooka było obrazkiem okna logowania do Facebooka

Złożyliście aplikację do Meta. Rekruter przysyła link Calendly. Wybieracie trzydziestominutowy termin rozmowy telefonicznej, wpisujecie swoje dane, przechodzicie coś, co wygląda jak CAPTCHA, i strona prosi o zalogowanie się do Facebooka. Chwilę później chce też konto Google, dla bezpieczeństwa. Wszystko tutaj jest fałszywe poza danymi logowania, które właśnie oddaliście.

Malwarebytes opisał tę kampanię 14 października. Strona rezerwacji to staranna kopia Calendly, zatytułowana Calendly | Meta Careers, z widokiem miesiąca i wyborem strefy czasowej we właściwych miejscach. Sztuczka tkwi w oknie Facebooka: jest narysowane wewnątrz strony rekrutacyjnej, z domalowanymi przyciskami przeglądarki i paskiem adresu pokazującym facebook.com. Wasz prawdziwy pasek adresu cały czas pokazuje coś w rodzaju joinhire.cfd albo jointheteam.works. Badacze znaleźli jedenaście takich domen.

Uwierzytelnianie dwuskładnikowe tu nie pomaga. Strona utrzymuje połączenie na żywo z serwerem napastnika, więc kod, który wpisujecie, trafia na prawdziwego Facebooka w ciągu kilku sekund, zanim wygaśnie. Może też wywołać powiadomienie na telefonie, co oznacza, że naciśnięcie zatwierdź na własnym urządzeniu wpuszcza ich do środka. Chodzi im przede wszystkim o konta powiązane ze stroną firmową albo kontem reklamowym.

Obrona jest nudna i skuteczna. Nigdy nie ufajcie oknu logowania, które pojawiło się wewnątrz innej strony. Spróbujcie je przesunąć: prawdziwe okno przeglądarki porusza się niezależnie od strony pod spodem, obrazek nie. Albo po prostu otwórzcie facebook.com samodzielnie w nowej karcie i sprawdźcie, czy jesteście już zalogowani. Pomagają też passkeys, bo nie ma wtedy żadnego kodu, który można by z was wyciągnąć. Kontrola prywatności i kont w Tendvane przechodzi przez to, jak logujecie się do Windows i które zabezpieczenia konta są włączone.