Campanha de phishing usa páginas falsas do Calendly para roubar login de candidatos a emprego
Uma campanha ativa está usando páginas falsas do Calendly disfarçadas de agendamento de entrevista na Meta para roubar credenciais do Facebook e do Google de candidatos a emprego. Após a vítima preencher dados na página de agendamento falsa, ela é redirecionada a uma tela de login clonada, e o atacante captura a senha — e o código de MFA — em tempo real.
A campanha explora um momento de alta vulnerabilidade emocional: a expectativa de uma entrevista em uma grande empresa de tecnologia. A isca usa a marca Meta e a estética de uma página legítima do Calendly para parecer rotineira — um passo burocrático antes de uma ligação de recrutamento — o que reduz a desconfiança da vítima antes mesmo de ela chegar à etapa de login.
Tecnicamente, o golpe é um phishing em duas etapas com captura de credencial em tempo real ('adversary-in-the-middle'): a página de agendamento falsa coleta dados pessoais e depois empurra a vítima para uma tela de login clonada do Facebook ou do Google. Como o atacante está operando o kit de phishing ativamente no momento do acesso, ele consegue capturar não só a senha, mas também o código de autenticação multifator digitado pela vítima, repassando-o em tempo real para a sessão legítima antes que o código expire — por isso MFA baseado em código/SMS não bloqueia esse tipo de ataque.
O alvo final não é a conta de candidatura em si, mas o acesso à conta pessoal de Facebook/Google da vítima, que tem valor de revenda e pode ser usada para golpes secundários (engenharia social contra os contatos da vítima, recuperação de outras contas vinculadas, fraude financeira se houver carteiras ou meios de pagamento associados).
Como reconhecer e se proteger: desconfiar de qualquer página de agendamento que, em algum momento do fluxo, peça senha de rede social — Calendly legítimo nunca autentica com login de Facebook/Google dessa forma; sempre checar a URL real na barra de endereço, não o design da página; tratar como alerta vermelho qualquer janela de login que não possa ser movida ou fechada normalmente (comportamento típico de kits de phishing embutidos); validar o recrutador e a vaga diretamente no site oficial de carreiras da empresa; e, quando disponível, usar chave de segurança física (FIDO2/passkey) em vez de código MFA, já que esse tipo de credencial não pode ser repassada pelo atacante em tempo real.