# Falsas entrevistas de emprego na Meta usam páginas do Calendly para roubar contas de Facebook e Google

> Escolhes a hora da entrevista, preenches os teus dados e, de repente, a página pede-te a palavra-passe do Facebook e o código de verificação. A Malwarebytes encontrou uma vaga de sites que imitam o Calendly e conseguem passar por cima da autenticação de dois fatores.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/falsas-entrevistas-de-emprego-na-meta-usam-paginas-do-calendly-para-roubar
- Categoria: Segurança
- Autoria: Redação
- Publicado: 16 de outubro de 2026
- Etiquetas: Phishing, Facebook, Google, Emprego

## Em resumo

- A Malwarebytes encontrou páginas que imitam o Calendly e oferecem uma chamada de 30 minutos com um recrutador da Meta.
- Depois de marcar a hora, a vítima vê janelas falsas de início de sessão do Facebook e da Google, com uma barra de endereço também falsa.
- O esquema pede os códigos de dois fatores e usa-os em tempo real para entrar nas contas verdadeiras.
- Os 11 domínios identificados seguem o padrão join mais uma palavra ligada a recrutamento, terminados em .cfd, .info e .works.
- Chaves de acesso (passkeys) e chaves de segurança físicas resistem a este tipo de ataque, segundo a Malwarebytes.

Se andas à procura de trabalho e recebes um convite para marcar entrevista na Meta, convém olhar duas vezes para o endereço. A Malwarebytes descobriu uma série de sites que imitam as páginas de marcação do Calendly, uma ferramenta de agendamento muito usada por recrutadores, com o título "Calendly | Meta Careers". A entrevista não existe: o objetivo é ficar com a conta de Facebook da vítima e, logo a seguir, com a conta Google. As páginas não têm qualquer ligação à Meta, ao Calendly ou à Google.

## Passo a passo da armadilha

A página mostra um calendário mensal, um seletor de fuso horário e uma "chamada telefónica" de 30 minutos, com horários carregados a partir do servidor dos atacantes para parecer a agenda de um recrutador real. Depois de escolheres a hora, pede o nome, o email e o número de telefone, e apresenta um falso teste CAPTCHA com grelhas de imagens. Segundo a Malwarebytes, este passo dá credibilidade e pode também esconder o resto do esquema dos sistemas automáticos de deteção.

Segue-se uma janela que copia o início de sessão do Facebook, desenhada dentro da própria página e com uma barra de endereço falsa onde aparece um endereço do Facebook. Se a conta tiver verificação em dois passos, a página pede o código recebido na app, por SMS, WhatsApp ou email. Depois alega que o Facebook precisa que entres na conta Gmail associada e mostra ecrãs falsos da Google. No fim, garante que o convite foi enviado e que terás resposta em 90 minutos.

## Porque é que os códigos não chegam

Enquanto estás na página, os atacantes testam a palavra-passe no Facebook verdadeiro. Quando o site pede um código, a página falsa pede-te o mesmo código e eles usam-no antes de expirar. Do lado da Google, a página pode mandar-te carregar em "Sim" num pedido de início de sessão que aparece no telemóvel, aprovando na prática a entrada dos criminosos.

A Malwarebytes contou 11 domínios com o mesmo formato: a palavra join seguida de um termo de recrutamento, como joinhire, joinquest ou jointheteam, terminados em .cfd, .info e .works. Nenhum menciona o Calendly ou a Meta, por isso podem ser reaproveitados para outras empresas.

## Como te proteges

Confirma o endereço e não te guies pelo aspeto: os links diretos do Calendly usam calendly.com. Marcar uma entrevista nunca exige a palavra-passe do Facebook. Uma janela de início de sessão que não consegues arrastar para fora da página é provavelmente parte da página. Confirma o recrutador pelo site oficial de carreiras da empresa e não aproves pedidos de início de sessão que não foste tu a iniciar. As chaves de acesso (passkeys) e as chaves de segurança físicas estão ligadas ao site verdadeiro e não podem ser reencaminhadas desta forma.

Se já introduziste dados, muda as palavras-passe a partir de um aparelho de confiança, termina as outras sessões e revê o email e o telefone de recuperação. No Gmail, verifica se foram criadas regras de reencaminhamento ou filtros que não reconheces.