Campanha global de phishing usa a própria infraestrutura do Google como fachada de confiança
Analistas identificaram uma campanha de phishing em larga escala que abusa de seis serviços legítimos do Google (Meet, Search, DoubleClick, Custom Search, Image Search e Tag Manager) como redirecionadores abertos antes de levar a vítima ao site fraudulento. O golpe segue duas trilhas: roubo de credenciais forçando duas submissões de senha, ou instalação de um acesso remoto (ScreenConnect) disfarçado de verificação de identidade. Dados roubados são exfiltrados via bot do Telegram após validação por consulta de registros MX, o que ajuda os atacantes a filtrar pesquisadores de segurança e ambientes de sandbox.
O diferencial dessa campanha não está na isca em si — documentos falsos para assinatura, avisos de expiração de senha, notificações de entrega ou de pagamento — mas em como cada camada clicável do e-mail é construída para resistir à inspeção manual. Como o link inicial aponta para domínios genuinamente do Google (google.com/url, meet.google.com, doubleclick.net), qualquer verificação superficial de "passe o mouse e veja o domínio" aprova o golpe, porque tecnicamente o domínio é real; só depois de uma cadeia de redirecionamentos é que a vítima chega à infraestrutura controlada pelo atacante.
Por dentro, a engenharia é sofisticada em vários pontos: o e-mail da vítima viaja codificado em base64 depois do caractere "#" na URL, um fragmento que navegadores não enviam ao servidor e que, por isso, não aparece em logs de acesso, dificultando a detecção automática. A página final é montada dinamicamente puxando o logotipo real da empresa da vítima (via API da Clearbit) e até um screenshot do site corporativo, pré-preenchendo o campo de e-mail para reforçar a aparência de legitimidade. Antes de exibir a isca, o backend consulta a própria API de DNS do Google para validar se o domínio do e-mail tem registros MX de empresa real, uma forma de filtrar pesquisadores e sandboxes de segurança que tipicamente usam domínios de teste.
A trilha de roubo de credenciais usa um truque simples e eficaz: a primeira senha digitada sempre retorna "senha inválida", forçando a vítima a digitar novamente — a segunda tentativa, capturada e confirmada, costuma ser a senha real (as pessoas raramente erram duas vezes seguidas). Já a trilha de acesso remoto oferece a instalação do ScreenConnect disfarçado de etapa de "verificação de identidade", dando ao atacante controle contínuo da máquina — abrindo caminho para fraude bancária direta, transferências não autorizadas ou movimentação lateral dentro da rede da vítima. Em ambas, os dados (credenciais, IP, geolocalização) são exfiltrados via bot do Telegram, canal difícil de bloquear e rastrear.
Para se proteger, o ponto prático mais importante é não confiar no domínio do primeiro link: se um e-mail pede login ou instalação de software após clicar em um link — mesmo que aparente vir do Google —, vale abrir o serviço diretamente pelo aplicativo ou digitando o endereço manualmente, em vez de seguir o redirecionamento. Duas submissões de senha em sequência, com erro na primeira, é um padrão de alerta forte. Empresas devem habilitar MFA resistente a phishing (chaves FIDO2/passkeys, que não podem ser repassadas em páginas falsas), monitorar tráfego de saída para APIs do Telegram, e treinar equipes para desconfiar de qualquer solicitação de instalação de ferramenta de acesso remoto vinda por e-mail, independentemente do pretexto.