Campanha de phishing com tema de recrutamento usa ataque Browser-in-the-Browser para roubar credenciais corporativas
Pesquisadores da Zimperium identificaram uma campanha ampla que se passa por recrutadores de RH de marcas como Amazon, Apple, FIFA, Boeing e Deloitte, conduzindo entrevistas falsas altamente realistas com candidatos a emprego. O golpe usa a técnica Browser-in-the-Browser (BitB), que simula uma janela de navegador de login (ex.: OAuth) dentro da própria página, e é ainda mais perigoso em dispositivos móveis, onde não há barra de endereço visível para o usuário conferir a autenticidade. O kit filtra e-mails pessoais, mirando exclusivamente contas corporativas, e ao capturar o login obtém tokens OAuth e comunicações internas para movimentação lateral na empresa da vítima.
A campanha combina dois elementos que se reforçam mutuamente: uma isca de engenharia social muito eficaz (processos seletivos falsos, com atacantes se passando por profissionais de RH de empresas conhecidas como Amazon, Louis Vuitton, Apple, FIFA, Emirates Group, Boeing, Heineken, Deloitte, CNRG e Lego) e uma técnica de interface enganosa, o Browser-in-the-Browser. Nessa técnica, em vez de redirecionar a vítima para um domínio de phishing separado — o que poderia ser detectado observando a barra de endereço — os atacantes renderizam uma janela pop-up falsa que imita visualmente um prompt legítimo de login OAuth (por exemplo, 'Fazer login com o Google/Microsoft'), tudo dentro da mesma aba do navegador legítimo.
O ponto mais preocupante do golpe é a assimetria entre desktop e mobile: em computadores, um usuário atento ainda pode notar que a 'janela' pop-up não se comporta como uma janela real do sistema operacional (não pode ser movida para fora dos limites da página, por exemplo). Em smartphones, no entanto, não existem barras de ferramentas tradicionais nem URL visível durante o fluxo, de modo que a vítima praticamente não tem como diferenciar visualmente o prompt falso de um login OAuth genuíno — o que torna o ataque proporcionalmente mais eficaz no canal onde mais candidatos hoje conduzem processos seletivos.
O kit de phishing também demonstra sofisticação operacional ao aplicar uma 'lógica de pré-qualificação': ele rejeita ativamente domínios de e-mail pessoais (Gmail, Outlook etc.) e só avança o ataque quando identifica uma conta de e-mail corporativa, o que sugere que o objetivo final não é apenas o candidato individual, mas o acesso à rede da empresa onde ele trabalha atualmente. Ao capturar as credenciais corporativas, os operadores obtêm tokens OAuth válidos, acesso a comunicações internas e aplicativos em nuvem, permitindo movimento lateral rápido dentro da organização vítima — um vetor de acesso inicial corporativo disfarçado de golpe individual. Times de segurança corporativa devem orientar colaboradores a nunca inserir credenciais de trabalho em processos seletivos externos e a verificar prompts de login OAuth conferindo se a janela pode ser arrastada para fora da aba do navegador (janelas BitB, sendo elementos HTML, não conseguem sair da viewport da página).