A Guardio kutatói „AccountDumpling” névvel látták el azt az új, feltehetően vietnámi szereplőkhöz köthető adathalász kampányt, amely a Google AppSheet használatával Facebook fiókok hitelesítő adatainak megszerzésére irányul. A becslések szerint eddig mintegy 30 ezer Facebook Business fiók esett a kampány áldozatául.

A kampány során a Facebook Business fióktulajdonosok látszólag a Meta Support-tól érkező és a fiókok végleges törlésével fenyegető adathalász üzeneteket kaptak a Google AppSheet e-mailcíméről (noreply[@]appsheet.com), ami lehetővé tette a kampány legitim infrastruktúra mögé rejtését és a spamszűrők megkerülését. Az elmúlt hetekben különböző csalikat alkalmaztak a támadások során a fiókok letiltásától, a szerzői jogok megsértésén és ellenőrzési felülvizsgálaton át, egészen a Facebook bejelentkezési értesítőkig. A négy legjellemzőbb forgatókönyv (cluster):

• Netlify szolgáltatások használata hamis Facebook Help Center oldalakhoz. Az így szerzett adatok és okmányfotók egy kiberbűnözők által üzemeltetett Telegram csatornára kerülnek továbbításra.
• Hitelesített jelvény megszerzését ígérő (blue badge) csalás, amely során a támadók Vercel-en hosztolt oldalakra irányítják át az áldozatokat annak ígéretével, hogy segítenek megszerezni a hitelesített jelvényt fiókjaikhoz, ehelyett belépési adatokat, üzleti információkat és akár még 2FA kódokat is lophatnak, amelyeket aztán szintén egy kiberbűnözői Telegram csatornára továbbítanak.
• Google Drive-on terjesztett, fiókellenőrzés látszatát keltő PDF-alapú adathalászat, amely során a támadók egy Canva-ban készült PDF-et küldenek az áldozatoknak, hogy hitelesítsék fiókjukat. A folyamat során jelszavak, 2FA kódok, személyi okmányok, sőt még képernyőképek is az elkövetők birtokába jutnak.
• Hamis állásajánlatok, amelyek során a támadók különböző cégek (WhatsApp, Meta, Adobe, Pinterest, Apple, Coca-Cola) nevében keresik meg az áldozatokat.

A kampány áldozatainak többsége az Egyesült Államokból, Olaszországból, Kanadából, a Fülöp-szigetekről, Indiából, Spanyolországból, Ausztráliából, az Egyesült Királyságból, Brazíliából és Mexikóból származik. A vietnámi kötődésre utaló jeleket a harmadik módszerhez kapcsolódóan azonosították, ugyanis a Canva-ban létrehozott PDF dokumentumok metaadatai között egy vietnámi név, “PHẠM TÀI TÂN” szerepelt a fájlok szerzőjeként, a további vizsgálatok pedig egy digitális marketingszolgáltatásokat nyújtó vietnámi weboldalhoz (phamtaitan[.]vn) vezettek.