A janela de início de sessão do Facebook era uma imagem de uma janela de início de sessão do Facebook

Candidatou-se a um lugar na Meta. Um recrutador envia um link do Calendly. Escolhe um horário de trinta minutos para uma chamada, preenche os seus dados, passa algo que parece um CAPTCHA, e a página pede-lhe para entrar no Facebook. Pouco depois quer também a sua conta Google, por segurança. Tudo isso é falso, exceto as credenciais que acabou de entregar.

A Malwarebytes documentou a campanha a 14 de outubro. A página de marcação é uma cópia cuidada da do Calendly, intitulada Calendly | Meta Careers, com a vista mensal e o seletor de fuso horário nos sítios certos. O truque está na janela do Facebook: está desenhada dentro da página de recrutamento, com botões de navegador pintados e uma barra de endereço a dizer facebook.com. A sua barra de endereço verdadeira continua a mostrar algo como joinhire.cfd ou jointheteam.works. Os investigadores encontraram onze desses domínios.

A autenticação de dois fatores não o salva aqui. A página mantém uma ligação em direto ao servidor do atacante, por isso o código que escreve é usado no Facebook verdadeiro em segundos, antes de expirar. Também consegue disparar o pedido no telemóvel, o que significa que tocar em aprovar no seu próprio aparelho os deixa entrar. As contas ligadas a uma página de empresa ou a uma conta de publicidade são as que realmente lhes interessam.

A defesa não tem nada de espetacular. Nunca confie numa janela de início de sessão que apareceu dentro de outra página. Tente arrastá-la: uma janela de navegador verdadeira move-se independentemente da página por trás, uma imagem não. Ou abra facebook.com por si próprio num separador novo e veja se já tem sessão iniciada. As passkeys também ajudam, porque não há código nenhum que lhe possam arrancar. A verificação de privacidade e contas do Tendvane percorre a forma como inicia sessão no Windows e que proteções de conta estão ativas neste momento.