Campanha global de phishing abusa de seis servicos do Google para burlar filtros e roubar credenciais
Uma campanha de phishing em larga escala esta encadeando ate seis propriedades legitimas do Google -- incluindo redirecionadores e servicos de infraestrutura -- para levar vitimas a paginas de coleta de credenciais ou a ferramentas de acesso remoto. O diferencial em relacao a golpes tradicionais e que, em vez de tentar esconder o link malicioso, a operacao entrega aos filtros de seguranca exatamente os dominios confiaveis que eles esperam ver em cada salto do redirecionamento, dificultando a deteccao automatizada. A pagina final se personaliza em tempo real, puxando logo da empresa da vitima via Clearbit e capturas de tela do site real, aumentando a verossimilhanca do golpe.
A campanha identificada explora uma fragilidade estrutural de gateways de seguranca de e-mail e proxies web: a confianca automatica concedida a dominios do proprio Google. Em vez de hospedar o conteudo malicioso em um dominio recem-registrado (o que dispara a maioria das heuristicas de reputacao), os atacantes constroem uma cadeia de redirecionamentos que passa por multiplos servicos legitimos do Google antes de pousar na pagina de phishing final. Como cada etapa do trajeto resolve para dominios do proprio Google, os sistemas de filtragem que inspecionam apenas o dominio de primeiro salto -- ou que dao passe livre a infraestrutura de grandes provedores -- deixam passar a mensagem.
O que torna o golpe mais eficaz do que uma pagina de login falsa generica e a camada de personalizacao dinamica: ao chegar na pagina final, o kit de phishing consulta APIs publicas (como a Clearbit) para buscar o logotipo da organizacao da vitima e ate uma captura de tela do site real, montando uma tela de login clonada especifica para aquele alvo. A validacao de dominio tambem usa o DNS publico do Google, entao o proprio kit malicioso se apoia em infraestrutura confiavel para parecer legitimo em cada etapa da cadeia -- tanto para o usuario quanto para ferramentas automatizadas de analise.
O alvo declarado e amplo: qualquer organizacao cujos funcionarios confiam ou usam ativamente servicos do Google (Workspace, redirecionadores, ferramentas de colaboracao) esta exposta, o que na pratica cobre a maior parte das empresas com presenca digital. O objetivo final e a coleta de credenciais corporativas -- e-mail, SSO -- ou a inducao da vitima a instalar/autorizar uma ferramenta de acesso remoto, dois vetores classicos que alimentam fraude de conta (account takeover) e Business E-mail Compromise em etapa posterior.
Na pratica, esse tipo de campanha reforca que reputacao de dominio isolada nao e mais um sinal confiavel de bloqueio: seguranca de e-mail e navegacao precisa inspecionar toda a cadeia de redirecionamento, nao apenas o primeiro salto, e correlacionar comportamento (destino final, padrao da pagina de captura de credenciais) em vez de so a lista de dominios visitados. Para usuarios finais, o alerta pratico e desconfiar de telas de login que chegam via link de e-mail mesmo quando o navegador mostra um dominio do Google no caminho, verificar a URL final da pagina onde a senha sera digitada, preferir sempre acessar servicos corporativos por favoritos/app ja instalados, e usar autenticacao multifator resistente a phishing (chaves FIDO2/passkeys), que neutraliza o roubo de senha mesmo quando a pagina falsa e convincente.