A plataforma de gerenciamento de projetos Monday.com removeu sua funcionalidade "Compartilhar Atualização" após criminosos virtuais a utilizarem em ataques de phishing.
Monday.com é uma plataforma de gerenciamento de projetos baseada na nuvem que permite a equipes organizar e gerenciar seu trabalho utilizando fluxos de trabalho automatizados e painéis de controle.
A plataforma é utilizada por 225.000 clientes, incluindo Coca-Cola, Canva, LionsGate, Oxy, Compass e Zippo.
Na terça-feira(07), clientes da Monday.com relataram a preocupação de que a empresa pudesse ter sido comprometida após receberem e-mails de phishing originados de suas contas de e-mail.
Esses e-mails foram enviados através do SendGrid e originados de [email protected], passando pela autenticação SPF, DMARC e DKIM.
Os e-mails de phishing fingiam ser do departamento de "Recursos Humanos", solicitando que os usuários reconhecessem a "política de sexo no local de trabalho da organização" ou enviassem feedback como parte de uma "Avaliação de Funcionários 2024".
Incorporados nos e-mails havia links contendo URLs encurtadas, como tinyurl.com, que levavam a formulários de phishing em formstack.com.
Os formulários associados a estas campanhas de phishing foram desde então desativados.
"Fomos informados do uso indevido de uma funcionalidade da monday.com chamada 'Compartilhar Atualização', que permite aos usuários compartilhar uma atualização com alguém que não seja membro de sua conta", disse um porta-voz da Monday.com .
Infelizmente, um usuário fez mau uso dessa funcionalidade, enviando uma mensagem de phishing.
Nós prontamente suspendemos este usuário e removemos a funcionalidade.
Esta funcionalidade não tem conexão com dados hospedados na monday.com ou acesso a quaisquer contas ou dados de clientes.
Entramos em contato e compartilhamos precauções com os destinatários do e-mail de phishing.
A Monday.com diz que o agente de ameaça abusou desta funcionalidade, inserindo uma lista de endereços de e-mail para os quais uma notificação deveria ser enviada, o que pode incluir pessoas fora de sua organização.
Quando questionados sobre quantas pessoas receberam um e-mail, eles optaram por não responder por motivos de segurança, mas disseram ter contatado todos os destinatários para adverti-los sobre os e-mails de phishing.
Publicidade
A primeira certificação prática brasileira de wireless hacking veio para mudar o ensino na técnica no país, apresentando labs práticos e uma certificação hands-on.
Todas as técnicas de pentest wi-fi reunidos em um curso didático e definitivo.
Saiba mais...