Criminosos usam contas do Notion e PDFs com links ocultos para roubar senhas

Um grupo de cibercriminosos com motivação financeira começou a abusar de contas gratuitas da plataforma de produtividade e organização Notion para aplicar golpes e roubar acessos de empresas. O método foi identificado pela equipe de inteligência e pesquisa da Sublime Security (Stir), que publicou a descoberta na quinta-feira (20) e batizou o grupo de invasores de “Doubloon Dredger”.

De acordo com o relatório técnico, o ataque tem início quando os cibercriminosos criam contas no Notion que se passam por executivos de alto escalão das organizações visadas. Por meio desses perfis, os invasores disparam notificações oficiais de compartilhamento de documentos para funcionários da mesma empresa. Como as mensagens saem dos servidores legítimos do Notion, os e-mails passam com facilidade pelas principais checagens de autenticação e filtros de segurança da caixa de entrada corporativa.

A armadilha do documento compartilhado

Ao receber o aviso no e-mail, o funcionário acredita se tratar de um comunicado interno urgente e clica no botão para acessar o conteúdo. A vítima é, então, direcionada para um arquivo PDF intermediário hospedado na nuvem.

No documento, há um botão com o texto “Review and Sign” (Revisar e Assinar). Ao clicá-lo, o usuário cai em uma página fraudulenta que imita uma tela oficial do Adobe Acrobat, mas que faz, na verdade, parte de um sistema clandestino de roubo de acessos chamado EvilTokens.

Os pesquisadores de segurança da Stir escreveram, no relatório, que a tática os surpreendeu pelo encadeamento de ferramentas. “Embora o roubo de acessos seja comum, o agente da ameaça combinou várias táticas incomuns para este ataque inédito: eles abusam do Notion para obter acesso a um remetente legítimo de e-mails, com infraestrutura de boa reputação e um local para hospedar um PDF malicioso”.

A página falsa exibe um código e orienta o funcionário a entrar no site oficial da Microsoft para digitar esses números. Quando insere o código na página verdadeira, a vítima autoriza a entrada do invasor no sistema da empresa sem perceber. Com a chave de acesso liberada, os golpistas entram na conta corporativa sem precisar saber a senha e conseguem inclusive ler e enviar e-mails diretamente pela caixa de entrada invadida.

Camuflagem com links sobrepostos

Durante as investigações, a equipe da Sublime identificou 14 arquivos PDF semelhantes distribuídos em ataques contra diversos setores da economia, como manufatura, telecomunicações, varejo, saúde e logística.

A análise revelou que esses arquivos utilizam uma técnica pouco convencional na área, pois cada documento carrega de dois a três links sobrepostos exatamente nas mesmas coordenadas do botão de assinatura. Na prática, o destino final do clique varia de acordo com o programa leitor de PDF utilizado pela vítima ou pelas ferramentas automáticas de segurança.

A hipótese dos especialistas da Sublime é que a sobreposição serve como um mecanismo de camuflagem. A equipe avaliou “com baixa confiança que os invasores foram motivados a usar essa técnica para criar redundância de infraestrutura em suas operações ou para dificultar a análise defensiva”.

Mercado clandestino por assinatura

Além do uso do Notion e dos PDFs construídos sob medida, os analistas encontraram conexões entre os códigos usados nessas páginas e outra ferramenta conhecida no mercado clandestino, a Tycoon2FA. Os pesquisadores examinaram mais de 600 arquivos recentes, notaram semelhanças nas estruturas e concluíram que o grupo Doubloon Dredger atua, provavelmente, como cliente de múltiplos serviços de ataque por assinatura.

O cenário reforça o alerta sobre a sofisticação das fraudes financeiras digitais, segundo a empresa. “Esse ataque destaca a evolução recente do roubo de tokens em grande escala por agentes com motivação financeira. Com base na crescente disponibilidade de plataformas como EvilTokens e Tycoon2FA, temos alta confiança de que o roubo de tokens continuará a ser utilizado por criminosos”, atenta a equipe de segurança.

Para conter a ameaça, a recomendação da Sublime é que s empresas revisem as políticas de autenticação, com a desativação da autorização por código de dispositivo sempre que possível ou a restrição da emissão dessas autorizações exclusivamente a computadores e aparelhos homologados pela equipe técnica.

Por falar em segurança no universo digital, mulheres usam IA para filtrar agressores antes de sair de casa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.