Campanha de phishing recorre a redireccionamentos do Facebook para roubar credenciais

Uma nova e sofisticada campanha de phishing está a visar utilizadores do Facebook através de emails cuidadosamente construídos para recolher credenciais de login.

Os atacantes exploram o próprio sistema de redireccionamento de URL da plataforma para ocultar links maliciosos, apresentando endereços que parecem legítimos antes de encaminhar as vítimas para páginas de login falsas.

O email inicial chega como uma notificação de segurança urgente, avisando sobre “tentativas de acesso não autorizado” ou pedindo a verificação de atividade na conta. O design assemelha-se ao estilo do Facebook, com ícones e avisos no rodapé, o que aumenta a sensação de autenticidade e leva muitos destinatários a clicar.

A campanha opera em várias línguas — incluindo inglês, alemão, espanhol e coreano — ampliando significativamente o número potencial de vítimas.

Os analistas do SpiderLabs detetaram a técnica após examinarem dezenas de amostras de email. Verificaram um padrão consistente: domínios aparentemente benignos que usam o serviço de redireccionamento do Facebook e, em seguida, apontam para a infraestrutura dos cibercriminosos, escapando assim a alguns scanners de ligação e à suspeita do utilizador.

Ao seguir o link, a vítima encontra uma réplica quase perfeita da interface de login do Facebook. As credenciais introduzidas são imediatamente exfiltradas para um servidor de comando e controlo.

Se a primeira tentativa parecer “falhada”, o portal falso executa um curto script em JavaScript que mostra um erro de “palavra-passe incorreta”, convidando o utilizador a tentar novamente — uma técnica que facilita aos atacantes obter credenciais válidas na segunda entrada.

Os dados recolhidos incluem endereços de email, números de telefone e palavras-passe. Tudo é armazenado num script de backend em PHP, pronto para posterior recuperação pelos operadores da campanha.

Utilizadores e administradores são aconselhados a desconfiar de notificações urgentes por email, verificar sempre o URL real antes de introduzir credenciais e ativar a autenticação em duas fases nas suas contas.