Phishing contra TikTok for Business que evade a detecção e rouba sessões em tempo real

Recentemente foi detectada uma campanha de phishing que coloca no ponto de vista às contas de TikTok for Business, e não é um ataque qualquer: os responsáveis têm desenhado a fraude para que as ferramentas automatizadas de segurança não possam analisar as páginas maliciosas e, desse modo, passar despercebidos mais tempo.

De acordo com a equipe que descobriu a operação, os enganos começam com links que redirecionam recursos legítimos - neste caso, a armazenamento na nuvem do Google - e daí encadeiam páginas hospedadas pelo próprio atacante. Esse primeiro passo é importante porque oferece uma sensação de confiança inicial ao usuário e esconde o traço direto para o servidor malicioso. As páginas falsas reproduzem formulários oficiais — como os que pedem programar chamadas comerciais — e solicitam dados básicos para “verificar” que o visitante usa uma conta de empresa.

A armadilha torna-se mais perigosa no próximo passo: Após essa verificação inicial, a vítima é apresentada com um ecrã que parece o formulário de início de sessão real. Essa tela realmente atua como um proxy inverso: intermediária em tempo real entre o usuário e o serviço legítimo, captura credenciais e cookies de sessão, e as envia ao atacante. O resultado é que mesmo os acessos protegidos por autenticação de dois fatores podem ser sequestrados, porque o atacante pode completar a sessão aproveitando a conexão interposta.

Os pesquisadores que analisaram a campanha identificaram um padrão familiar: os domínios utilizados seguem variações com nomes similares e compartilham o mesmo recipiente de armazenamento na nuvem. Além disso, os registros de domínio foram feitos através de um registrador que em outros incidentes tem aparecido em atividades criminosas. Para ampliar a análise técnica e os achados verificados, consultar o relatório técnico publicado pelos descubridores da campanha no blog Push Security, que conecta esta operação com táticas observadas em campanhas prévias.

Outra peça chave do modus operandi é o uso de verificações anti-bot integradas na cadeia de redireções. Tecnologias como Cloudflare Turnstile Permitem distinguir entre navegadores humanos e ferramentas de digitalização automáticas; os atacantes estão a usar para impedir que as defesas automáticas e os investigadores acedam às páginas maliciosas, o que complica a detecção precoce.

Há também uma união perigosa entre serviços: muitas contas de TikTok for Business permitem iniciar sessão através do início de sessão única do Google (SSO). Se um usuário administra sua conta de TikTok com as credenciais do Google, comprometer o acesso do Google pode permitir ao atacante controlar simultaneamente a conta de anúncios e o conteúdo de TikTok. Este vetor amplifica o dano, porque as contas de empresa são especialmente valiosas para campanhas de malvertising, fraude publicitária e difusão de fraudes com aparência legítima.

O padrão observado nesta campanha lembra outras suplantações que usaram páginas que imitam processos de programação de chamadas ou recrutamento para enganar as pessoas. Uma análise detalhada sobre um caso semelhante que abusava de páginas de ofertas de emprego e da cadeia de redireccionamento pode ser lida no relatório publicado por Sublime Security, que mostra como as variantes podem ser multiplicadas e ajustadas constantemente para contornar detecções.

Para os administradores e responsáveis por contas de publicidade e redes sociais, isso levanta vários sinais de alarme. As contas de empresa têm mais alcance e credibilidade pública, pelo que são um objetivo natural para aqueles que procuram distribuir conteúdo malicioso ou manipular campanhas publicitárias. Os atacantes não procuram apenas roubar palavras-passe: buscam controlar canais que depois podem empregar em esquemas de fraude em grande escala.

No que diz respeito às recomendações práticas, é conveniente tomar medidas simples mas contundentes: manter uma atitude céptica em relação a links inesperados, verificar cuidadosamente o domínio antes de introduzir qualquer credencial e desconfiar de comunicações que solicitem verificar contas ou programar chamadas através de formulários não verificados. Além disso, as organizações devem priorizar métodos de autenticação resistentes ao phishing, como as credenciais baseadas em paskeys e chaves FIDO/WebAuthn, que reduzem drasticamente a eficácia dos proxies reversos. O Google e outras plataformas já oferecem guias para adotar paskeys e outros mecanismos de autenticação modernos; a documentação do Google sobre passkeys pode ser um bom ponto de partida: Como utilizar passkeys.

Também é recomendável segmentar papéis e permissões nas contas publicitárias para minimizar o impacto se uma credencial for comprometida, monitorar com ferramentas de detecção de sessão anómala e educar as equipes sobre as armadilhas mais habituais em ofertas de emprego e “invitações comerciais”. Para recursos gerais sobre como evitar o phishing e quais passos seguir após detectar uma tentativa, os guias de organismos oficiais oferecem conselhos úteis e atualizados, por exemplo as publicações da CISA.

Em suma, estamos perante uma campanha que combina engenharia social com técnicas técnicas para bloquear a inspeção automatizada e roubar sessões em tempo real. A recomendação mais sólida é combinar precaução humana com autenticação moderna e políticas de segurança nas plataformas de anúncios, porque isso reduz significativamente a superfície de ataque e dificulta a exploração de contas com alto valor para os criminosos.