Pesquisadores de cibersegurança identificaram uma campanha global de phishing em larga escala, com temática de recrutamento, que usa páginas falsas de agendamento de entrevistas e janelas do tipo Browser-in-the-Browser (BitB) para roubar credenciais do Google e do Facebook. Em casos mais avançados, a operação também repassa, em tempo real, solicitações de autenticação multifator (MFA).
A CTM360, que detalhou a atividade em um novo relatório chamado RecruitTrap, informou ter encontrado mais de 3.000 URLs de phishing ao longo de dois meses. A campanha imitava recrutadores e processos seletivos reais ligados a mais de 50 organizações em 14 setores. Profissionais de marketing responderam pela maior parte dos alvos observados.
O foco em vagas da área de marketing parece ter sido intencional. Contas comprometidas desse tipo podem dar acesso a plataformas de anúncios, perfis corporativos em redes sociais, dados de clientes, e-mail e outros serviços críticos para os negócios.
Duas iscas de recrutamento levam à mesma armadilha de login
O ataque começa com um e-mail não solicitado ou um convite para reunião que aparenta vir de um recrutador de uma organização conhecida. A mensagem cita o histórico profissional da vítima e a convida para agendar uma entrevista ou uma conversa informal.
A vítima é direcionada para um de dois fluxos: uma página falsa no estilo Calendly ou um portal de recrutamento específico da marca. O primeiro copia a identidade visual da empresa e pode reutilizar nomes, fotos, cargos e outros dados públicos de recrutadores reais. O segundo pede que o alvo escolha data e horário e envie informações básicas de contato.
Ambos os caminhos levam ao botão “Continuar com Google/Facebook”, onde a técnica Browser-in-the-Browser (BitB) exibe uma janela de autenticação falsa com barra de endereço e cadeado forjados. Em dispositivos móveis, isso pode aparecer como uma página de login falsa em tela cheia.
O kit de phishing funciona como uma máquina de estados em tempo real
A análise técnica da CTM360 em uma URL de phishing no estilo Calendly mostrou que a página se comportava como uma máquina de estados, e não como um formulário estático de credenciais. Um front end em Svelte/SvelteKit conduzia a vítima por etapas com CAPTCHA, nome de usuário, senha e vários métodos de dois fatores, incluindo OTP, correspondência de número de telefone e verificação de sufixo.
Um identificador de sessão específico do navegador era armazenado em sessionStorage, enquanto um canal persistente via Socket.IO permitia ao backend controlar qual tela seria exibida a seguir. Verificações de CAPTCHA e de recarregamento do navegador eram usadas para filtrar o tráfego antes da coleta das credenciais.
A página bloqueava domínios de e-mail pessoais e avançava apenas com contas corporativas, concentrando a campanha em identidades empresariais de maior valor.
Depois que a vítima inseria os dados de login, os atacantes os usavam para acessar o serviço real. Em seguida, a página falsa exibia a mesma solicitação de MFA e repassava o código da vítima para os atacantes.
Se a autenticação fosse concluída com sucesso, o atacante obtinha uma sessão autenticada, enquanto a vítima podia ser redirecionada para uma página legítima do Calendly, para reduzir suspeitas.
Mais de 3.000 URLs em uma infraestrutura compartilhada
A maior parte das páginas de phishing encontradas pela CTM360, cerca de 96%, usava o tema do Calendly. Muitas recorriam ao Cloudflare para ocultar os servidores reais dos atacantes.
O portal falso de recrutamento, específico por marca, usava 116 hosts únicos observados. A CTM360 descobriu que 93,1% deles usavam hosts dedicados ou registrados, com 50,9% hospedados em endereços e intervalos de IP da AWS EC2. Hostnames repetidos e infraestrutura reutilizada indicam que vários sites de phishing foram implantados a partir de uma configuração compartilhada.
Entre 813 domínios registrados deduplicados, o .cfd foi o domínio de nível superior mais comum, com 40%, seguido por .com, com 25,1%, .info, com 15,1%, .works, com 10,5%, e .work, com 6,3%.
A campanha também foi desenhada para rebranding rápido. O mesmo modelo pode ser adaptado com a troca do nome da empresa, da identidade do recrutador, do fundo, do slogan e do provedor de autenticação, mantendo o mesmo fluxo de reunião de 30 minutos e de login.
Os setores mais visados foram recrutamento, tecnologia, bens de luxo e viagens, que somaram cerca de 58% das marcas usadas.
Como identificar e reagir ao ataque
Usuários devem verificar convites de entrevista não solicitados por meio de um canal independente da empresa e acessar o site oficial de carreiras da organização, em vez de usar links da mensagem.
Um login legítimo do Google deve ocorrer em accounts.google.com ou em outro endereço verificado do Google. Em um ataque BitB, a barra de endereço visível e o cadeado fazem parte da própria página, a janela falsa não pode ser movida para fora da aba atual do navegador e os controles do navegador ou links de privacidade podem ser apenas decorativos. Outro sinal de alerta é o gerenciador de senhas não reconhecer ou não preencher automaticamente a origem esperada.
As organizações podem reduzir a exposição ao usar autenticação resistente a phishing, como passkeys ou WebAuthn com suporte de hardware, monitorar domínios de recrutamento parecidos com os legítimos e correlacionar e-mails suspeitos de recrutamento com tentativas incomuns de login ou novas sessões.
Quem tiver inserido credenciais ou um código de MFA em uma página suspeita de recrutamento deve alterar imediatamente a senha afetada, revogar sessões e tokens ativos, revisar atividades de login, regras da caixa de e-mail e concessões de OAuth, além de notificar a equipe de segurança.
O RecruitTrap mostra como uma oportunidade de emprego aparentemente comum pode ser transformada em um ataque de identidade escalável. A janela falsa do navegador cria confiança; o backend em tempo real converte essa confiança em roubo de credenciais, repasse de MFA e tomada de conta.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...