Burlas
Falsas entrevistas de emprego na Meta usam páginas do Calendly para roubar contas de Facebook e Google
Escolhes a hora da entrevista, preenches os teus dados e, de repente, a página pede-te a palavra-passe do Facebook e o código de verificação. A Malwarebytes encontrou uma vaga de sites que imitam o Calendly e conseguem passar por cima da autenticação de dois fatores.
Se andas à procura de trabalho e recebes um convite para marcar entrevista na Meta, convém olhar duas vezes para o endereço. A Malwarebytes descobriu uma série de sites que imitam as páginas de marcação do Calendly, uma ferramenta de agendamento muito usada por recrutadores, com o título "Calendly | Meta Careers". A entrevista não existe: o objetivo é ficar com a conta de Facebook da vítima e, logo a seguir, com a conta Google. As páginas não têm qualquer ligação à Meta, ao Calendly ou à Google.
Passo a passo da armadilha
A página mostra um calendário mensal, um seletor de fuso horário e uma "chamada telefónica" de 30 minutos, com horários carregados a partir do servidor dos atacantes para parecer a agenda de um recrutador real. Depois de escolheres a hora, pede o nome, o email e o número de telefone, e apresenta um falso teste CAPTCHA com grelhas de imagens. Segundo a Malwarebytes, este passo dá credibilidade e pode também esconder o resto do esquema dos sistemas automáticos de deteção.
Segue-se uma janela que copia o início de sessão do Facebook, desenhada dentro da própria página e com uma barra de endereço falsa onde aparece um endereço do Facebook. Se a conta tiver verificação em dois passos, a página pede o código recebido na app, por SMS, WhatsApp ou email. Depois alega que o Facebook precisa que entres na conta Gmail associada e mostra ecrãs falsos da Google. No fim, garante que o convite foi enviado e que terás resposta em 90 minutos.
Porque é que os códigos não chegam
Enquanto estás na página, os atacantes testam a palavra-passe no Facebook verdadeiro. Quando o site pede um código, a página falsa pede-te o mesmo código e eles usam-no antes de expirar. Do lado da Google, a página pode mandar-te carregar em "Sim" num pedido de início de sessão que aparece no telemóvel, aprovando na prática a entrada dos criminosos.
A Malwarebytes contou 11 domínios com o mesmo formato: a palavra join seguida de um termo de recrutamento, como joinhire, joinquest ou jointheteam, terminados em .cfd, .info e .works. Nenhum menciona o Calendly ou a Meta, por isso podem ser reaproveitados para outras empresas.
Como te proteges
Confirma o endereço e não te guies pelo aspeto: os links diretos do Calendly usam calendly.com. Marcar uma entrevista nunca exige a palavra-passe do Facebook. Uma janela de início de sessão que não consegues arrastar para fora da página é provavelmente parte da página. Confirma o recrutador pelo site oficial de carreiras da empresa e não aproves pedidos de início de sessão que não foste tu a iniciar. As chaves de acesso (passkeys) e as chaves de segurança físicas estão ligadas ao site verdadeiro e não podem ser reencaminhadas desta forma.
Se já introduziste dados, muda as palavras-passe a partir de um aparelho de confiança, termina as outras sessões e revê o email e o telefone de recuperação. No Gmail, verifica se foram criadas regras de reencaminhamento ou filtros que não reconheces.
