Golpes de phishing no LinkedIn estão se sofisticando cada vez mais.
Uma nova campanha de phishing no LinkedIn está enganando usuários ao simular logins da Microsoft, com táticas sofisticadas de redirecionamento e páginas falsas.
LinkedIn sob ataque
Nesta terça-feira (3), o LinkedIn se destacou como alvo de uma sofisticada campanha de phishing, com técnicas que enganam usuários por meio de logins da Microsoft. A empresa Push identificou e bloqueou essa nova estratégia, que utiliza redirecionamentos e páginas falsas para roubar credenciais corporativas.
Táticas inovadoras de phishing
Os criminosos estão mudando seu foco de e-mails para plataformas como redes sociais e aplicativos de mensagens, onde as vítimas se sentem mais seguras. O ataque inicia com uma mensagem direta que contém um link aparentemente inofensivo. Após clicar, a vítima é redirecionada várias vezes, passando por domínios confiáveis como Google, antes de chegar a uma página maliciosa hospedada no Firebase, um serviço legítimo do Google. Nessa página, é exibido um botão “Visualizar com a Microsoft”, que leva o usuário a um desafio de segurança do Cloudflare Turnstile, antes de direcioná-lo para uma página falsa da Microsoft, onde suas credenciais são roubadas.
Estratégias de evasão
A Push destacou várias táticas que os golpistas utilizam para evitar a detecção:
- Uso de redes sociais: O LinkedIn é percebido como um ambiente seguro, longe do alcance de filtros corporativos.
- Redirecionamentos múltiplos: O uso de domínios confiáveis diminui as chances de bloqueio.
- Proteção contra bots: Tecnologias como o Cloudflare Turnstile dificultam a análise automatizada da página.
- Ofuscação de página: Elementos visuais são alterados aleatoriamente para dificultar o reconhecimento.
Impacto do ataque
A Push alerta que o fato de o ataque ocorrer no LinkedIn não diminui seu impacto; as credenciais e contas corporativas são visadas. Além disso, o uso da plataforma para golpes pode comprometer identidades centrais de login unificado (SSO), permitindo acesso a múltiplos serviços empresariais simultaneamente. O episódio ressalta que o phishing moderno não está restrito ao e-mail, explorando plataformas sociais como LinkedIn, Google e Microsoft em escala global.
