LinkedIn é usado em campanha de phishing que simula login da Microsoft e mira credenciais corporativas

Uma nova ofensiva de phishing no LinkedIn foi identificada pela empresa de segurança Push, revelando um método elaborado que combina redirecionamentos, páginas hospedadas em serviços legítimos e camuflagem de conteúdo para capturar credenciais corporativas. Segundo a investigação, os golpistas passaram a concentrar seus esforços em redes onde os usuários se sentem menos ameaçados e onde barreiras tradicionais, como filtros de e-mail, exercem influência limitada.

Quem são os alvos e por que o LinkedIn foi escolhido

Os criminosos miram principalmente profissionais que utilizam a plataforma para contatos de trabalho. O LinkedIn, por reunir perfis confirmados, histórico profissional e conversas sobre projetos empresariais, fornece a impressão de ambiente controlado. Essa percepção reduz a vigilância dos usuários, que podem considerar mensagens diretas como legítimas extensões de suas atividades corporativas. A Push observa que, exatamente por esse sentimento de segurança, a rede se tornou vetor eficiente para ataques que anteriormente se restringiam à caixa de entrada de e-mail.

Como o golpe se inicia dentro da rede social

Tudo começa com uma mensagem privada simples. O texto contém um link aparentemente inofensivo, muitas vezes disfarçado como convite para visualizar currículo, proposta de parceria ou documento corporativo. Ao clicar, a vítima acredita que será direcionada a um arquivo ou página profissional; entretanto, inicia-se uma sequência de redirecionamentos que mascara o destino final.

A cadeia de redirecionamentos até a página falsa

O primeiro salto reportado ocorre na própria Busca do Google. A utilização desse domínio aumenta a confiança, além de driblar bloqueios que costumam olhar apenas o endereço inicial do link. Em seguida, o tráfego passa por “payrails-canaccord[.]icu”, domínio controlado pelos atacantes. O caminho termina em uma página hospedada no Firebase, serviço legítimo pertencente ao Google. Cada etapa serve para conferir credibilidade contínua ao processo, pois navegadores e soluções de segurança tendem a confiar em provedores reconhecidos.

“Visualizar com a Microsoft”: isca central do esquema

Já no ambiente do Firebase, o usuário encontra um botão intitulado “Visualizar com a Microsoft”. A legenda induz a crer que o acesso ao suposto documento exige uma conta corporativa vinculada ao serviço de login único (SSO) da Microsoft. Ao pressionar o botão, surge um desafio de segurança do Cloudflare Turnstile. Essa etapa, além de reforçar a sensação de legitimidade, bloqueia a varredura de robôs automatizados, dificultando que sistemas de monitoramento detectem a fraude.

Roubo de sessão e captura das credenciais

Após a verificação, a vítima é finalmente enviada para uma cópia visual da página de autenticação da Microsoft. O layout, cores e posicionamento de campos reproduzem com precisão a interface oficial. Quando o usuário digita e confirma nome de usuário e senha, os dados são imediatamente transferidos aos criminosos. Mais do que armazenar as informações, o golpe rouba o token de sessão ativo, conferindo acesso direto a recursos empresariais sem necessidade de digitar as credenciais novamente.

Táticas de evasão observadas pela Push

A análise técnica destacou quatro pilares que sustentam a capacidade de a campanha permanecer fora do radar:

1. Uso de redes sociais: a operação no LinkedIn contorna filtros aplicados a e-mails corporativos. Como as mensagens diretas são tratadas como comunicação legítima entre profissionais, poucas empresas aplicam inspeção profunda nesse canal.

2. Redirecionamentos múltiplos: ao intercalar domínios amplamente reconhecidos, os fraudadores reduzem alertas de bloqueio. O Google Search e o Firebase, por exemplo, possuem reputação elevada e raramente são listados em bases de domínios maliciosos.

3. Proteção contra bots: a etapa do Cloudflare Turnstile impede que varreduras automáticas reproduzam o fluxo e identifiquem que a página final é falsa. Só usuários humanos, ao resolver o desafio, avançam para o site fraudulento.

4. Ofuscação de página: títulos, logotipos e blocos de texto mudam de forma aleatória a cada acesso. Esse dinamismo dificulta a criação de assinaturas digitais que ferramentas de segurança costumam usar para bloquear clones de sites.

Consequências para empresas e administradores de TI

Ao colher credenciais corporativas, os golpistas potencialmente acessam e-mails, arquivos em nuvem, ferramentas de colaboração e sistemas financeiros integrados à conta da Microsoft. Quando a organização utiliza login unificado, uma única senha fornece passagem para diversos serviços internos. Assim, o risco extrapola a perda de informações pontuais, podendo levar à movimentação lateral dentro da infraestrutura e à exfiltração de dados sensíveis.

A Push ressalta que o uso do LinkedIn não diminui a gravidade. Pelo contrário, o histórico profissional público da vítima pode orientar o criminoso a determinar quais sistemas internos valem mais. Com o controle da sessão, o invasor assume a identidade do colaborador, evitando alertas que geralmente surgem quando acessos ocorrem de localizações ou equipamentos suspeitos.

Migração do e-mail para novos canais de ataque

O episódio confirma que o phishing evoluiu além do modelo tradicional baseado em correio eletrônico. Redes sociais, plataformas de busca e provedores de nuvem viraram alvos preferenciais porque concentram alto volume de usuários e desfrutam de confiança consolidada. Além do LinkedIn, o estudo da Push menciona aplicativos de mensagens como outro terreno fértil, pois os filtros corporativos raramente vasculham conversas nessas aplicações.

Panorama de engenharia social em ambientes profissionais

Ao trafegar em contextos de trabalho, o golpista explora urgência e senso de responsabilidade. Mensagens que insinuam oportunidades de negócio, pedidos de avaliação de documento ou convites para processos seletivos soam plausíveis dentro do LinkedIn. A justificativa de login pela Microsoft reforça a ideia de que o conteúdo é institucional. Com esses estímulos, os responsáveis pela conta baixam a guarda, entregando as senhas sem desconfiar do roteiro incomum de redirecionamentos.

Recomendações sugeridas pela análise

Embora a Push enfatize a necessidade de vigilância, a empresa também destaca boas práticas que administradores e usuários podem adotar. A desconfiança frente a links externos, mesmo vindos de contatos legítimos, figura no topo da lista. Outro ponto crítico é verificar a URL antes de inserir credenciais, certificando-se de que o domínio realmente pertence à Microsoft. Adicionalmente, a ativação de autenticação multifator eleva a camada de proteção, pois exige código adicional que o atacante dificilmente possui.

Ajustes de segurança corporativa

Ferramentas de detecção precisam ampliar o escopo para monitorar redes sociais e redirecionamentos sequenciais. Análises de tráfego que considerem todo o percurso, e não apenas o primeiro domínio, ampliam a chance de barrar campanhas semelhantes. Paralelamente, é recomendável educar colaboradores sobre a migração do phishing para ambientes considerados “seguros”, reforçando que confiança em marcas conhecidas pode ser explorada.

A campanha detalhada pela Push demonstra que brechas de confiança e recursos legítimos continuam sendo armas eficazes para criminosos digitais. A transição do e-mail para plataformas como LinkedIn, Google e Microsoft confirma a capacidade de adaptação dos golpistas, exigindo respostas igualmente dinâmicas de usuários e equipes de segurança.