Uma campanha de phishing identificada pela equipe de Inteligência de Ameaças da NordVPN está usando falsas ofertas de emprego de grandes empresas para roubar credenciais do Facebook. A investigação aponta que criminosos criaram uma estrutura sofisticada para se passar por grandes companhias com o objetivo de sequestrar contas e, potencialmente, acessar outros serviços vinculados aos perfis das vítimas.

Segundo a empresa, a estratégia foi desenhada para reproduzir com alto nível de fidelidade um processo de recrutamento legítimo. A combinação de e-mails convincentes, páginas falsas de carreiras e mecanismos técnicos que dificultam a detecção aumenta as chances de sucesso da fraude.

Domininkas Virbickas, diretora de produtos da NordVPN, explicou em nota que “candidatos a emprego são particularmente vulneráveis porque já estão acostumados a compartilhar informações pessoais e seguir instruções de contatos desconhecidos. Essas campanhas se aproveitam dessa confiança usando comunicações refinadas e portais de carreira falsos convincentes, praticamente indistinguíveis dos verdadeiros”.

Como o golpe funciona

A campanha começa com o envio de e-mails que simulam contatos de recrutadores. Para reduzir a chance de bloqueio por filtros de spam, os criminosos utilizam serviços legítimos de envio de mensagens, como o Google AppSheet. Os textos apresentam linguagem profissional, boa gramática e características semelhantes às de processos seletivos reais.

Os pesquisadores acreditam que as listas de contatos utilizadas pelos golpistas tenham sido obtidas por meio de coleta automatizada de informações públicas em plataformas profissionais, como o LinkedIn, ou a partir de bases vazadas anteriormente.

Ao clicar no link recebido, a vítima é levada inicialmente para um domínio intermediário, conhecido pelos pesquisadores como “HUB”. Esses sites permanecem praticamente vazios quando acessados diretamente, exibindo apenas páginas sem conteúdo relevante. O comportamento muda apenas quando o acesso ocorre por meio do link enviado no e-mail, liberando um botão para continuar a candidatura.

Portais falsos reforçam a fraude

Depois dessa etapa, o usuário é direcionado para páginas que imitam portais oficiais de vagas das empresas utilizadas como isca. Os ambientes exibem oportunidades aparentemente legítimas e reforçam a sensação de que a candidatura faz parte de um processo seletivo verdadeiro.

Entre os domínios identificados na investigação estão páginas falsas associadas à Meta, Coca-Cola, Spotify e Disney, todas criadas para reproduzir a identidade visual das empresas e aumentar a credibilidade da fraude.

O golpe é concluído quando o candidato seleciona opções como “Candidatar-se” ou “Enviar candidatura”. Em vez de um formulário de inscrição, surge uma página falsa solicitando login com a conta do Facebook para dar continuidade ao processo. As credenciais inseridas são capturadas pelos criminosos, que passam a controlar a conta da vítima.

Recomendações para evitar o phishing

A NordVPN afirma que campanhas desse tipo mostram como criminosos têm explorado marcas conhecidas e situações do cotidiano para aumentar a eficiência dos ataques. Como o fluxo reproduz um processo de contratação de forma bastante convincente, até usuários mais atentos podem ser enganados.

Para reduzir os riscos, a empresa orienta como medidas conferir cuidadosamente o endereço do site antes de informar qualquer credencial, ativar a autenticação multifator (MFA) em todas as contas de redes sociais e desconfiar de ofertas de emprego não solicitadas enviadas por e-mail ou aplicativos de mensagens, principalmente quando houver pressão para agir rapidamente.

A análise conduzida pela NordVPN utilizou técnicas de inteligência de fontes abertas (OSINT) para identificar e validar a infraestrutura da campanha. Os pesquisadores combinaram buscas avançadas com ferramentas especializadas para localizar domínios, serviços e dispositivos expostos na internet.

Também foram empregados mecanismos de busca voltados à Internet das Coisas (IoT) e plataformas como Shodan e Fofa para verificar quais domínios estavam efetivamente comprometidos e mapear a estrutura utilizada pelos criminosos. Segundo a empresa, o objetivo foi confirmar as evidências com dados cruzados e delimitar com precisão os sistemas envolvidos na operação.