Phishing sem código: como Bubble e domínios legítimos enganam para roubar credenciais da Microsoft

Pesquisadores em segurança identificaram uma tática limpa e efetiva para que campanhas de phishing passem desapercibidas: aproveitar plataformas de criação de aplicativos sem código, como Bubble, para construir e hospedar páginas maliciosas que simulam os portais de login da Microsoft. O relatório Kaspersky Saiba como este método explora a confiança que geram domínios legítimos e a complexidade do código gerado automaticamente.

Bubble é uma plataforma que permite criar aplicativos sem escrever código, apoiando-se em inteligência artificial para gerar a interface e a lógica. As aplicações resultantes costumam ficar sob o domínio *.bubble.io, um espaço considerado legítimo por muitas soluções de segurança perimetral. Essa aparente legitimidade faz com que os links incluídos em e-mails maliciosos não se marquem automaticamente como perigosos, e assim o usuário chega a uma página que em aparência não desperta suspeitas.

A técnica não se baseia apenas no uso de um domínio confiável. Os atacantes criam aplicações com grandes pacotes de JavaScript e estruturas baseadas em Shadow DOM que, por sua complexidade e isolamento, são difíceis de analisar tanto manual como automaticamente. Essa maranha de código pode esconder redireções e formulários falsos destinados a capturar credenciais, e em alguns casos a verdadeira página de suplantação é apresentada após verificações como as que realiza Cloudflare, o que adiciona uma camada adicional de legitimidade aparente.

O perigo real é que qualquer dado internado nessas páginas — utilizador e senha, e em alguns casos códigos ou confirmações secundárias — termina nas mãos dos criminosos. Com credenciais da Microsoft 365 um atacante pode acessar o correio, o calendário e outros serviços corporativos, o que abre a porta para fraudes financeiras, filtragem de informações sensíveis e movimentos laterais dentro da rede de uma organização.

Além disso, os pesquisadores alertam que esta forma de evasão tem todas as cartas para se tornar uma peça padrão dentro de kits de phishing e plataformas de phishing-as-a-service (PhaaS). Esses serviços já integram técnicas como roubo de cookies de sessão, camadas “adversary-in-the-middle” que tentam sortear a autenticação de dois fatores, geo-restrições para selecionar vítimas e truques anti-análises. Ao adicionar a capacidade de esconder páginas maliciosas em infra-estruturas legítimas, a eficácia e o alcance das campanhas aumentam.

Diante deste cenário, nem tudo está perdido: a prevenção e a consciência ainda são ferramentas poderosas. Confirmar o URL real antes de introduzir credenciais, desconfiar de ligações que chegam por e-mail, mesmo que apontem para domínios conhecidos, e usar métodos de autenticação mais robustos como chaves de segurança ou Passkeys reduzem o impacto deste tipo de fraudes. Para organizações, ativar e afinar mecanismos de proteção em plataformas como Microsoft 365 — incluindo soluções de anti-phishing e controles de acesso condicional — é uma barreira adicional recomendada pelos fabricantes.

Se você quer aprofundar como essas campanhas funcionam e quais medidas recomendam os organismos de segurança, os relatórios e guias da Kaspersky são um bom ponto de partida ( ver a análise) e autoridades como a CISA ou NCSC do Reino Unido mantêm recomendações práticas para detectar e relatar phishing. Microsoft também publica guias para proteger ambientes da Microsoft 365 e configurar defesas anti-phishing em sua documentação técnica.

Em paralelo, os responsáveis por plataformas não-code têm por diante um desafio importante: equilibrar a experiência de criação e implantação rápida com controles de abuso mais rigorosos. Alguns meios, como BleepingComputer, tentaram obter a versão de Bubble sobre estes achados, o que sublinha a necessidade de respostas coordenadas entre fornecedores, comunidades de segurança e usuários para que a flexibilidade que essas ferramentas oferecem não se torne uma via fácil para a fraude.

No dia a dia, a melhor defesa ainda é a prudência: olhar com olho crítico os e-mails inesperados, validar links antes de interagir, ativar níveis superiores de verificação e recorrer aos canais oficiais quando algo não se renda. A técnica pode mudar, mas a rotina de verificar antes de confiar ainda é uma das barreiras mais efetivas contra o roubo de credenciais.