Group-IB derruba campanha de mais de 3.200 perfis falsos de "suporte Meta" usados para sequestrar contas do Facebook
Entre fevereiro e março de 2023, a Group-IB identificou mais de 3.200 perfis fraudulentos se passando por suporte técnico da Meta/Facebook, ativos em 23 idiomas e com indícios de operação desde dezembro de 2020. O golpe usava marcas oficiais e alegações de violação de política para levar vítimas a mais de 220 sites de phishing, coletando tanto senha quanto cookies de sessão — o que permite tomar a conta mesmo sem a senha. Contas comprometidas eram reutilizadas para golpear os próprios seguidores da vítima, criando um efeito cascata.
A campanha de falso suporte da Meta identificada pela Group-IB ilustra bem como o phishing de conta social evoluiu de golpe artesanal para operação com escala de marketing digital. Os atacantes criavam ou sequestravam contas do Facebook e as renomeavam com nomes que soam institucionais, como "Restriction Account Business Information", assinando publicações como se fossem "Meta Business Services". Usando logos e identidade visual oficiais nos perfis e nos mais de 220 sites de phishing identificados, a operação alcançava plausibilidade suficiente para enganar até usuários atentos.
O gatilho psicológico central era o medo de perder a conta: publicações alegavam violação de política do Facebook e exigiam "verificação" imediata, marcando de 10 a 50 perfis por post — muitas vezes de figuras públicas — para maximizar alcance e emprestar credibilidade social ao golpe ("se essa pessoa conhecida foi marcada, deve ser real"). O clique levava a uma página que imitava a interface oficial da Meta.
Tecnicamente, a campanha usava duas rotas de comprometimento. A mais simples pedia usuário e senha diretamente na página falsa. A mais perigosa coletava os cookies de sessão do Facebook (identificadores como c_user e xs), que permitem a um atacante assumir uma sessão já autenticada sem nunca precisar da senha — driblando por completo qualquer proteção baseada em verificação de login, já que do ponto de vista da plataforma a sessão sequestrada parece legítima. Contas comprometidas viravam, então, plataforma de disseminação: cada conta sequestrada replicava o mesmo golpe para sua própria rede de contatos, o que explica o crescimento para mais de 1.200 novos perfis fraudulentos só em março de 2023.
O ponto prático de defesa é reconhecer que a Meta não notifica violação de política por meio de perfis de terceiros nem de posts marcando dezenas de contas — comunicações oficiais de restrição de conta chegam pelo painel de suporte dentro do próprio app ou por e-mail do domínio oficial. Contra o roubo de cookie de sessão especificamente, revisar periodicamente a lista de sessões ativas nas configurações de segurança da conta e encerrar sessões desconhecidas é mais eficaz do que apenas trocar a senha, já que a sessão sequestrada sobrevive a uma troca de senha até ser explicitamente revogada.