Uma vaga de emprego falsa é uma das iscas mais antigas do phishing. O que a CTM360 documentou este mês em uma campanha que chama de RecruitTrap não tem nada de antigo: uma janela de navegador falsa convincente o suficiente para enganar o próprio navegador, ligada a um backend ao vivo que observa cada tentativa de login e decide, tela por tela, exatamente qual desafio de autenticação multifator lançar para a vítima em seguida.
O que a RecruitTrap realmente construiu
A CTM360 rastreou mais de 3.000 URLs de phishing ao longo de uma janela de dois meses, cada uma se passando por um recrutador ou um processo de contratação vinculado a uma de mais de 50 organizações reais, abrangendo 14 setores da indústria. A campanha não mira amplamente quem envia currículos. Ela filtra especificamente contas de e-mail corporativas, descartando os endereços pessoais que chegam à página, porque um login do Gmail ou do Yahoo vale muito menos para os operadores do que um conjunto funcional de credenciais corporativas.
A isca começa de forma bastante comum: um e-mail não solicitado ou um convite de reunião, estilizado para parecer que vem de um recrutador de uma empresa reconhecível, mencionando a trajetória profissional do alvo e convidando para agendar uma entrevista. Nada nessa mensagem precisa falsificar um domínio. Um domínio parecido, uma caixa de entrada comprometida, ou simplesmente um nome de exibição convincente, já bastam para conseguir o clique, porque o roubo de fato acontece depois do clique, não no cabeçalho.
Por que uma janela de navegador falsa supera uma página de login falsa
Navegador no navegador, ou BitB, é uma técnica que renderiza um popup dentro da própria página, completo com uma barra de endereço falsa, uma moldura de janela falsa e uma URL que parece correta porque é desenhada com HTML e CSS em vez de ser emitida pelo navegador de verdade. Um usuário que verifica o cadeado ou olha o domínio na barra de endereço vê exatamente o que espera ver, porque nada daquilo é real.
A versão da RecruitTrap roda sobre um frontend em Svelte e SvelteKit que conduz a vítima por cenas em etapas: CAPTCHA, nome de usuário, senha, e então um dos vários métodos de segundo fator. O que a torna perigosa é a camada por baixo. Uma conexão persistente via Socket.IO liga cada sessão de volta ao backend do atacante em tempo real, permitindo que um operador, ou uma automação agindo como tal, observe o que a conta real da vítima exige e selecione na hora a tela de desafio correspondente. Se a organização do alvo usa um aplicativo autenticador, a página falsa pede um código de autenticador. Se usa SMS, a página falsa pede SMS. O kit não está adivinhando qual método de MFA falsificar. Estão dizendo a ele qual é.
Onde o DMARC se encaixa nessa cadeia
O DMARC, junto com SPF e DKIM, responde a uma pergunta restrita: se esta mensagem está autorizada a afirmar que veio deste domínio. O e-mail inicial da RecruitTrap não precisa de uma resposta favorável a essa pergunta para funcionar. Um domínio parecido tem seus próprios registros SPF e DKIM válidos e pode publicar sua própria política DMARC sem contradizer nada, porque não está afirmando ser o domínio da empresa real, apenas algo que se parece com ele à primeira vista. Uma caixa de entrada comprometida em uma empresa de recrutamento real passa por todas as verificações de autenticação pela mesma razão que os abusos do Azure Monitor e do Google Cloud cobertos aqui nas últimas semanas passaram: a infraestrutura que envia a mensagem é legítima, mesmo quando o que ela envia não é.
Assim que o e-mail cumpre sua única função, conseguir um clique, não sobra nada para o DMARC verificar. O roubo de credenciais, a retransmissão de MFA e a tomada de controle da conta acontecem todos em uma infraestrutura que o DMARC nunca foi projetado para enxergar: um site de phishing com seu próprio domínio, seu próprio certificado e seu próprio backend em tempo real.
O que isso significa para o seu programa
Trate o BitB como uma lacuna de treinamento, não apenas técnica. Os usuários são treinados para verificar a barra de endereço. Um popup convincente de navegador no navegador derrota exatamente esse hábito ao falsificar aquilo que lhes disseram para confiar. O treinamento precisa cobrir que um popup legítimo de SSO ou OAuth deveria poder ser verificado arrastando a janela parcialmente para fora da página principal, já que uma janela falsa renderizada em HTML não consegue cruzar esse limite.
Fique atento a iscas com tema de recrutamento contra profissionais que publicam sua função de trabalho abertamente. A filtragem da RecruitTrap por contas corporativas e o foco documentado pela CTM360 sugerem um direcionamento baseado em informações profissionais disponíveis publicamente, do tipo encontrado em redes profissionais e diretórios de empresas.
Não presuma que o MFA sozinho fecha a lacuna. Uma retransmissão que observa qual desafio uma conta real exige e o reflete de volta derrota o MFA como controle isolado. Métodos resistentes a phishing, como chaves de hardware FIDO2 ou passkeys vinculadas à origem, não são falsificáveis por uma janela falsa da forma que um código de uso único é.
Mantenha a aplicação do DMARC onde ela pertence, na porta de entrada. Uma política estrita com p=reject impede que alguém falsifique diretamente o seu próprio domínio em uma isca com tema de recrutamento voltada aos seus funcionários ou candidatos. Ela não faz nada para impedir que um domínio parecido ou uma caixa de entrada de terceiros comprometida façam o mesmo trabalho, então combine-a com monitoramento de domínio para variantes próximas do seu próprio nome.
A conclusão
A RecruitTrap não é uma falha do DMARC. É um lembrete de que o phishing se moveu muito além da caixa de entrada, mais do que os protocolos de autenticação jamais foram projetados para alcançar, usando uma ilusão de navegador boa o suficiente para sobreviver à única verificação que a maioria dos usuários ainda se lembra de fazer. Autenticar a mensagem que abre a porta sempre foi um problema separado de defender o que acontece depois que alguém a atravessa.
A Excello Mail oferece visibilidade contínua sobre seus relatórios DMARC, para que você saiba exatamente quais fontes estão se autenticando sob seu domínio enquanto os atacantes constroem fachadas cada vez mais convincentes para o roubo de credenciais que acontece depois do clique. Cadastre-se gratuitamente na Excello Mail e sustente com monitoramento real a camada de autenticação que você realmente controla.