Pesquisadores da Push Security identificaram uma campanha de phishing que utiliza convites fictícios do Calendly para comprometer contas empresariais, principalmente do Google Workspace e do Facebook Business. O golpe, detectado em dezembro de 2025, emprega recursos de inteligência artificial para reproduzir a identidade visual de mais de 75 marcas conhecidas, entre elas Disney e MasterCard.
Como o ataque acontece
O criminoso envia um e-mail de reunião se passando por recrutador ou funcionário de uma grande companhia, prática conhecida como spoofing. Ao clicar no link, o destinatário é direcionado a uma página que imita o Calendly, incluindo até um CAPTCHA para conferir legitimidade. Em seguida, a vítima é levada a um site de phishing do tipo adversary-in-the-middle (AiTM), criado para capturar credenciais do Google Workspace.
Os pesquisadores já registraram pelo menos 31 URLs diferentes relacionadas à campanha. Algumas versões do golpe ainda utilizam a técnica browser-in-the-browser (BiTB), que gera janelas falsas idênticas às de um navegador legítimo, dificultando a identificação da fraude.
Táticas de ocultação
As páginas maliciosas contam com mecanismos antianálise, como bloqueio de VPN ou proxies e restrições a ferramentas de inspeção, o que complica a verificação por especialistas de segurança.
Recomendações de proteção
Especialistas sugerem algumas medidas preventivas:
Imagem: teteescape
- Evitar clicar em convites de reunião inesperados ou desconhecidos, mesmo que pareçam vir de empresas confiáveis;
- Desativar a aceitação automática de convites de calendário, exigindo confirmação manual após verificação;
- Manter softwares de segurança atualizados e utilizar soluções com proteção anti-phishing e navegação segura.
A campanha mostra como golpistas refinam métodos de engenharia social para burlar defesas corporativas e reforça a importância de procedimentos de verificação antes de interagir com convites recebidos por e-mail.
Com informações de WizyThec
