A Check Point Software Technologies identificou uma nova e sofisticada campanha de phishing à escala global que utiliza plataformas SaaS (Software as a Service) legítimas para distribuir esquemas fraudulentos.
Ao contrário dos métodos tradicionais, esta vaga não recorre ao comprometimento de infraestruturas, mas sim ao abuso de funcionalidades nativas de serviços como Microsoft, Amazon, Zoom e PayPal para enganar os utilizadores.
Os domínios legítimos já não são uma segurança contra o phishing
Esta operação marca uma evolução preocupante nas táticas dos cibercriminosos nos ataques de phishing. Em vez de utilizarem domínios falsos, os atacantes manipulam campos personalizáveis, como é o caso de nomes de contas ou mensagens de perfil, que são depois integrados em notificações automáticas reais enviadas pelas próprias plataformas.
O resultado é um email onde as mensagens partem de domínios oficiais e conseguem passar em todos os controlos de segurança, incluindo SPF, DKIM e DMARC. Além disso, a principal diferença nesta nova campanha é que estes e-mails não pretendem reencaminhar os utilizadores para links maliciosos.
Com esta nova campanha a ideia é levar os utilizadores a acreditar que aquela mensagem vem de um fonte oficial e de confiança e tentar levar a vitima a ligar para números de telefone controlados pelos atacantes.
Desta forma os criminosos conseguem contornar os sistemas automáticos de detecção baseados em URLs e focar a fase final do ataque na manipulação direta por voz.
A investigação detalhou três abordagens principais de abuso:
- Notificações SaaS Genéricas: Exploração de metadados de perfil que aparecem em emails automáticos;
- Fluxos da Microsoft: Uso de alertas do Power BI, Entra ID e subscrições de contas;
- Convites do Amazon Business: Inserção de mensagens fraudulentas em convites de colaboração legítimos da Amazon.
A nível global, esta campanha de phishing já gerou mais de 133 mil emails fraudulentos, impactando mais de 20 mil organizações. Nos últimos seis meses, o volume total de emails de phishing baseados em abuso de SaaS ultrapassou os 648 mil.
“Esta campanha demonstra que emails autenticados, bem formatados e provenientes de marcas de confiança já não podem ser considerados seguros por defeito. Os atacantes estão a privilegiar a herança de confiança das plataformas cloud em vez da criação de infraestruturas próprias, reduzindo drasticamente a fricção técnica e a probabilidade de deteção.”
Rui Duro, Country Manager para Portugal da Check Point software
A Check Point recomenda que as organizações reavaliem a confiança automática em emails autenticados e sensibilizem os colaboradores para esquemas baseados em chamadas telefónicas (vishing). É ainda aconselhada a adoção de soluções de segurança que utilizem Inteligência Artificial e análise comportamental para detetar abusos contextuais em comunicações aparentemente normais.
Imagem de capa: DepositPhotos
Sobre o autor
Aproveite a campanha:
