A Check Point Research divulgou recentemente uma campanha de phishing que não precisou de nenhum domínio falso, remetente falsificado ou página de login clonada para funcionar. Os pesquisadores encontraram mais de 3.200 cópias da mesma mensagem: uma oferta de emprego de verão enviada a partir de uma caixa de correio escolar legítima, porém genuinamente comprometida, com um link para uma página real do Google Forms hospedada na própria infraestrutura do Google. Todo sinal que um servidor de email verifica veio limpo, porque nada daquilo era falsificado. É isso que torna essa campanha digna de um olhar atento.
Uma Oferta de Emprego Sem Nenhum Domínio Falso para Detectar
O email convidava estudantes a se candidatarem a um trabalho flexível de verão por meio de um formulário de inscrição “seguro”. Não havia domínio de envio estranho, marca clonada, nem anexo malicioso. A mensagem vinha de uma conta escolar real que uma equipe de segurança teria todos os motivos para confiar, porque a conta em si não havia sido personificada. Ela havia sido tomada. O atacante simplesmente a usou para alcançar as próprias listas de email dos estudantes da escola, e deixou o Google Forms fazer o resto do trabalho de parecer legítimo.
As Duas Perguntas que Denunciaram o Golpe
O formulário pedia o básico que qualquer candidatura a emprego coleta: nome, dados de contato, disponibilidade. Duas perguntas chamaram a atenção dos pesquisadores. Uma pedia a instituição financeira do candidato, algo que nenhum empregador legítimo solicita antes de fazer uma oferta formal. A outra pedia o endereço de email escolar oficial do candidato, um dado que não cumpre nenhuma função em uma candidatura de emprego, mas que é extremamente útil para roubo de credenciais, tomada de contas, ou para lavar transações fraudulentas por meio de uma identidade nova. Juntas, essas duas perguntas apontam para recrutamento de mulas financeiras: usar estudantes como intermediários involuntários para movimentar fundos roubados, disfarçado de um trabalho de verão remunerado.
Por Que o DMARC Passou em Todos os Casos
O DMARC verifica se o domínio remetente de uma mensagem autorizou a infraestrutura que a enviou. Nessa campanha, a resposta sempre foi sim, porque a caixa de correio que enviava era da própria escola, enviando pela própria infraestrutura autorizada da escola. O SPF passou. O DKIM passou. O DMARC passou. Nenhum desses protocolos foi projetado para perguntar se a conta por trás de um domínio autorizado havia sido silenciosamente tomada, se o conteúdo de uma mensagem fazia sentido vindo daquela conta, ou se o formulário para o qual ela apontava estava coletando informações que nenhum processo legítimo precisaria. Essa lacuna entre estar autenticado e ser confiável é exatamente onde essa campanha viveu, e é por isso que detectá-la exigiu observar o comportamento do remetente e a intenção da mensagem, não apenas os cabeçalhos de autenticação.
O Que as Equipes de Segurança Devem Fazer Agora
Tratar o comportamento incomum de uma caixa de correio como um sinal de comprometimento, não apenas como um sinal de conteúdo. Uma conta escolar, universitária ou corporativa que de repente envia email em massa para uma lista à qual nunca havia enviado antes é um indicador mais forte de tomada de conta do que qualquer coisa no corpo da mensagem.
Sinalizar candidaturas e formulários que pedem dados financeiros antes de qualquer oferta ser feita. Esse único dado é um dos sinais mais confiáveis no recrutamento de mulas financeiras, e é fácil construir regras de detecção em torno dele, independentemente de onde o formulário esteja hospedado.
Não tratar “hospedado em uma plataforma confiável” como sinônimo de seguro. Um link do Google Forms, do Microsoft Forms, ou de qualquer outra ferramenta construída sobre infraestrutura legítima não herda nada da reputação dessa plataforma para o conteúdo que coleta.
Manter o DMARC aplicado com p=reject em todos os domínios que você possui, independentemente da mecânica desta campanha específica. Isso não vai impedir um atacante que compromete uma conta na qual você já confia, mas fecha o caminho muito mais comum de atacantes que registram domínios semelhantes para personificar você diretamente, que ainda é de onde vem a maior parte do volume.
A Conclusão
Essa campanha funcionou justamente porque nada nela parecia tecnicamente errado. O domínio era real, a caixa de correio era real, a autenticação passou, e o formulário vivia em uma infraestrutura que os estudantes usam todos os dias. O DMARC fez exatamente o que foi projetado para fazer aqui, e mesmo assim não foi suficiente, porque a pergunta que essa campanha respondeu nunca foi de quem era o domínio que enviou o email. Era se a conta por trás desse domínio ainda podia ser confiável, uma pergunta que o DMARC nunca foi projetado para fazer.
A Excello Mail mantém totalmente autenticados e aplicados os domínios que você possui, fechando as rotas de personificação mais baratas para que a atenção da sua equipe vá para onde realmente é necessária, para ameaças de comprometimento de conta como esta, que nenhum registro de autenticação sozinho consegue detectar. Cadastre-se gratuitamente na Excello Mail para ver hoje mesmo a postura real de autenticação do seu domínio.