Will Thomas, consultor sênior na empresa de inteligência de ameaças Team Cymru, passou as últimas semanas desmontando uma operação de phishing que já funciona há pelo menos cinco meses sem chamar muita atenção. A isca é simples e eficaz: um e-mail de recrutamento oferecendo uma vaga de marketing em uma empresa conhecida, acompanhado do nome e da foto de um funcionário real dessa empresa para tornar o contato mais pessoal. Pelo menos 34 marcas já foram identificadas como suplantadas, entre elas Adidas, Adobe, American Airlines, Booking.com, Coca-Cola, Delta Air Lines, FIFA, Levi’s, Louis Vuitton, ManpowerGroup, Marriott, McKinsey & Company, Netflix, OpenAI, PepsiCo, Red Bull, Sephora e United Airlines. O objetivo não é um currículo. É a senha de uma conta do Google, e o caminho até ela passa por uma cadeia de plataformas SaaS legítimas e devidamente hospedadas, que a maioria das ferramentas de segurança não tem motivo para desconfiar.
Uma Cadeia de Redirecionamentos Construída com Infraestrutura Real
O que torna essa campanha digna de estudo não é a isca, falsas ofertas de emprego são comuns, mas o mecanismo de entrega. Os e-mails de phishing se apresentam como mensagens do PeopleForce, uma plataforma de recursos humanos em nuvem genuína, usada por empresas reais para gerenciar contratações. Ao clicar, o usuário não vai direto para uma página de phishing. Primeiro o link resolve por meio do exct.net, um domínio operado pela Salesforce Marketing Cloud após a aquisição da plataforma de e-mail ExactTarget, depois encaminha novamente por meio do wiseagent.com, um CRM em nuvem construído para corretores imobiliários, antes de finalmente chegar à página real de roubo de credenciais. Três saltos, três plataformas legítimas, nenhuma delas infraestrutura própria do atacante. As primeiras versões da campanha eram enviadas de simples endereços do Outlook.com com o nome da empresa suplantada digitado no campo de nome de exibição, uma técnica que não custa nada e não exige registrar nenhum domínio.
Por Que o DMARC Nunca Vê Nada Disso
Nenhuma das 34 empresas suplantadas tem o que autenticar aqui, porque esse tráfego nunca afirma vir de seus domínios reais. O e-mail inicial não é correio falsificado a partir de adidas.com ou coca-cola.com; é correio genuíno vindo da própria infraestrutura do PeopleForce, ou de uma simples conta do Outlook.com com o nome de exibição configurado para parecer outra coisa. O registro DMARC de uma marca, por mais rigorosamente que seja aplicado em p=reject, avalia apenas o correio que afirma seu domínio no cabeçalho From. Ele não tem nada a dizer sobre uma mensagem que nunca fez essa afirmação. Os saltos de redirecionamento agravam o problema: exct.net e wiseagent.com são domínios SaaS reais, de alta reputação e com histórico de envio já estabelecido, então qualquer verificação de reputação de link ou idade de domínio feita por um gateway de segurança ao longo do caminho retorna um resultado limpo em cada etapa, exceto na última.
Por Que Isso Importa para o DMARC, a Entregabilidade e a Confiança de Marca
Essa campanha é um lembrete útil de que a aplicação do DMARC é necessária, mas nunca foi projetada para ser suficiente sozinha contra todos os padrões de suplantação. Ela fecha a porta para alguém que envie correio afirmando vir do seu domínio. Não diz nada sobre alguém que usa seu nome, a foto de um funcionário seu e uma cadeia de plataformas SaaS não relacionadas para construir algo que apenas parece vir de você. Para as próprias plataformas SaaS, isso também é um problema de entregabilidade e confiança: PeopleForce, Salesforce Marketing Cloud e Wise Agent não construíram sua infraestrutura de redirecionamento e mensagens para servir de lavagem de phishing de credenciais, mas é exatamente esse o papel que estão desempenhando aqui, e cada campanha que atravessa exct.net ou wiseagent.com sem ser detectada corrói silenciosamente a reputação que essas plataformas construíram com os provedores de caixas de correio.
O Que Marcas, Plataformas e Candidatos Devem Fazer Agora
Monitore domínios similares construídos em torno de linguagem de contratação, não apenas do nome da sua marca. Padrões como “nomemarca-hiring.com” ou “nomemarca-careers.com” são baratos de registrar e foram exatamente o que essa campanha usou; adicione esses padrões às ferramentas existentes de monitoramento de domínios em vez de supor que monitorar apenas o nome da marca será suficiente.
Se você opera uma plataforma multiusuário com redirecionamentos abertos ou encaminhamento de links, audite em busca de abuso. PeopleForce, Salesforce Marketing Cloud e Wise Agent estão sendo usadas como intermediárias involuntárias justamente porque seus domínios carregam uma confiança que um domínio de phishing recém-registrado não tem. Qualquer plataforma cujos links possam ser encadeados por terceiros é um alvo para esse mesmo padrão.
Candidatos a emprego devem verificar o contato de recrutamento de forma independente do e-mail em si. Confirme que existe uma vaga aberta na própria página de carreiras da empresa e que o recrutador citado tem um perfil verificável antes de inserir qualquer credencial, não importa quão personalizado ou bem produzido o e-mail pareça.
Trate isso como um estudo de caso de por que proteção de marca e autenticação de e-mail precisam trabalhar juntas. A aplicação total do DMARC em cada domínio que você possui continua sendo a base correta. Ela simplesmente não é a camada que detecta um atacante que nunca toca no seu domínio.
A Conclusão
Trinta e quatro marcas, cinco meses, e nenhum domínio suplantado entre as empresas afetadas. Essa campanha tem sucesso justamente porque evita a disputa que o DMARC foi feito para vencer e, em vez disso, toma emprestada a credibilidade de infraestrutura SaaS legítima e de uma isca convincentemente personalizada. A autenticação forte nos seus próprios domínios continua importante, mas isso é um lembrete de que ela é apenas uma camada dentro de uma defesa que também precisa de monitoramento de domínios, denúncia de abuso de plataformas e uma boa dose de ceticismo por parte de quem recebe o e-mail.
A Excello Mail ajuda você a manter todos os domínios que possui totalmente autenticados e aplicados, para que atacantes nunca possam suplantar seu nome diretamente, enquanto sua equipe fica livre para focar nos padrões de suplantação que vivem fora do alcance do DMARC. Cadastre-se gratuitamente na Excello Mail para ver exatamente quais fontes estão enviando e-mails em seu nome hoje.