Uma operação de phishing identificada pela empresa de cibersegurança Push está usando o LinkedIn como porta de entrada para roubar credenciais de contas corporativas. O esquema combina redirecionamentos, páginas clonadas e técnicas de camuflagem para enganar usuários que acreditam estar acessando serviços legítimos da Microsoft.
Como o golpe funciona
O ataque começa com uma mensagem direta enviada pela plataforma profissional. No texto, há um link aparentemente inofensivo. Ao clicar, a vítima é conduzida por uma cadeia de redirecionamentos — incluindo a Busca do Google e o domínio payrails-canaccord[.]icu — até chegar a uma página hospedada no Firebase, serviço do Google.
Nesse endereço, o usuário se depara com o botão “Visualizar com a Microsoft”. Ao selecioná-lo, é submetido a um desafio de verificação do Cloudflare Turnstile. Superada a checagem, o internauta é levado a um site que imita o portal de login da Microsoft, onde insere nome de usuário e senha corporativos. Os criminosos capturam esses dados em tempo real e assumem a sessão, obtendo acesso direto a informações internas da empresa da vítima.
Táticas para evitar detecção
A Push destacou quatro estratégias que dificultam a identificação do golpe por ferramentas de segurança:
- Uso de redes sociais: o LinkedIn costuma ficar fora de filtros corporativos de e-mail, aumentando a chance de entrega da mensagem maliciosa.
- Redirecionamentos múltiplos: o tráfego passa por domínios considerados confiáveis, como Google e Microsoft, reduzindo alertas automáticos.
- Proteção contra bots: o Cloudflare Turnstile bloqueia sistemas automáticos que tentam analisar a página suspeita.
- Ofuscação de conteúdo: títulos, logotipos e textos mudam de forma aleatória para evitar reconhecimento por filtros baseados em assinatura.
Foco em identidades corporativas
Segundo a Push, o objetivo principal é capturar credenciais vinculadas a sistemas de autenticação unificada (SSO). Com esses dados, invasores podem acessar diversos serviços empresariais de uma só vez, ampliando o impacto da invasão. A empresa ressalta que a migração do phishing para redes sociais mostra como golpistas aproveitam ambientes considerados seguros pelos usuários.
Imagem: Saksit Sangtg
A campanha evidencia que o e-mail deixou de ser o único vetor para esse tipo de fraude, com plataformas como LinkedIn, Google e Microsoft entrando no radar dos cibercriminosos.
Com informações de WizyThec
