Os cibercriminosos encontraram uma forma engenhosa de contornar os filtros de segurança ao utilizar os próprios servidores de correio eletrónico da Meta. O objetivo principal desta campanha focou-se no roubo de credenciais de contas empresariais, permitindo aos atacantes assumir o controlo das páginas para lançar campanhas de publicidade fraudulenta e ataques direcionados a clientes.
Segundo a investigação detalhada pela Huntress, a tática passava por explorar o sistema que a empresa detentora do Facebook, Instagram e WhatsApp disponibiliza para as marcas comunicarem entre si. Como as mensagens eram efetivamente enviadas a partir da infraestrutura oficial, surgiam nas caixas de entrada das vítimas como comunicações fidedignas enviadas pela própria plataforma.
O falso programa de parceiros
Para convencer os alvos a cederem as suas informações, os piratas informáticos faziam-se passar pelo Meta Agency Partner Program. Esta iniciativa real da Meta serve normalmente para ligar marcas a profissionais de gestão de redes sociais. As vítimas recebiam emails com ligações que as reencaminhavam para páginas fraudulentas fora do ecossistema da gigante tecnológica, desenhadas especificamente para imitar o portal de acesso legítimo.
Assim que os utilizadores tentavam iniciar sessão nestes falsos portais, as suas credenciais eram capturadas e enviadas de imediato para uma conta na plataforma Telegram sob o controlo do grupo criminoso. Com estes dados na mão, a verdadeira exploração financeira e de identidade tinha início.
Medidas de mitigação aplicadas
O acesso indevido a perfis corporativos representa um risco severo para os negócios digitais e para a sua base de clientes. "Os agentes de ameaças podem aproveitar as contas empresariais da Meta para gastar o dinheiro da vítima em publicidade maliciosa ou fraudulenta, ou podem assumir totalmente o controlo da conta, alterando os métodos de recuperação e a palavra-passe, e aproveitar a conta para transmitir ataques mais direcionados aos clientes ou seguidores da empresa nas redes sociais", explicaram os investigadores.
A campanha sofreu várias mutações ao longo dos últimos meses, adaptando os iscos e as mecânicas. A situação obrigou a fornecedora tecnológica a intervir diretamente, implementando novos bloqueios técnicos que inutilizaram o método utilizado pelos atacantes. Em paralelo com esta correção, a equipa de segurança publicou os indicadores de comprometimento (IoCs) associados a esta operação, entregando às organizações as ferramentas necessárias para detetarem qualquer atividade suspeita.
Nenhum comentário
Seja o primeiro!