Вікно входу у Facebook було картинкою вікна входу у Facebook

Ви подалися на роботу в Meta. Рекрутер надсилає посилання Calendly. Ви обираєте тридцятихвилинний слот для телефонної розмови, вписуєте свої дані, проходите щось схоже на CAPTCHA, і сторінка просить увійти у Facebook. За мить їй потрібен ще й обліковий запис Google, нібито задля безпеки. Усе це підроблене, крім облікових даних, які ви щойно віддали.

Malwarebytes описала кампанію 14 жовтня. Сторінка бронювання - акуратна копія Calendly під заголовком Calendly | Meta Careers, із календарем на місяць і вибором часового поясу на своїх місцях. Уся хитрість у вікні Facebook: воно намальоване всередині сторінки з вакансією, з домальованими кнопками браузера та рядком адреси, де написано facebook.com. Ваш справжній рядок адреси при цьому досі показує щось на кшталт joinhire.cfd або jointheteam.works. Дослідники знайшли одинадцять таких доменів.

Двофакторна автентифікація тут не рятує. Сторінка тримає живий зв'язок із сервером зловмисників, тож код, який ви вводите, за кілька секунд використовують на справжньому Facebook, доки він не прострочився. Вона може також викликати запит на телефоні, а це означає, що натиснувши підтвердити на власному пристрої, ви впускаєте їх усередину. Найбільше їх цікавлять облікові записи, прив'язані до бізнес-сторінки чи рекламного кабінету.

Захист тут нудний і дієвий. Ніколи не довіряйте вікну входу, яке з'явилося всередині іншої сторінки. Спробуйте його перетягнути: справжнє вікно браузера рухається незалежно від сторінки позаду, а картинка - ні. Або просто відкрийте facebook.com самі в новій вкладці й подивіться, чи ви вже увійшли. Passkeys теж допомагають, бо тоді немає коду, який можна з вас виманити. Перевірка приватності та облікових записів у Tendvane проходить по тому, як ви входите у Windows і які засоби захисту облікового запису зараз увімкнені.