O golpe foi estruturado em várias etapas e reproduz elementos de processos reais de recrutamento. O objetivo é fazer com que o candidato avance naturalmente de uma etapa para outra até chegar ao momento em que entrega suas informações de acesso aos criminosos.
1. O golpe começa com uma suposta oportunidade de emprego
O primeiro contato normalmente acontece por meio de um e-mail não solicitado. A mensagem apresenta uma oportunidade profissional e utiliza linguagem cuidadosa, aparência corporativa e informações que tentam reproduzir uma abordagem legítima de recrutadores.
Segundo a investigação, os criminosos podem utilizar serviços legítimos, como o Google AppSheet, para enviar as mensagens e dificultar a identificação do conteúdo como spam.
Os contatos das vítimas provavelmente são obtidos por meio de coleta automatizada de informações em plataformas como o LinkedIn ou a partir de dados expostos em vazamentos anteriores.
2. O candidato é levado para um domínio aparentemente legítimo
Ao clicar no link recebido, a vítima não chega imediatamente à página de roubo de credenciais.
Antes disso, ela pode ser direcionada para um domínio intermediário, criado especificamente para a campanha. Alguns endereços identificados pela investigação imitavam páginas relacionadas a empresas conhecidas.
Entre os exemplos estão domínios que simulavam processos de recrutamento da Meta, Coca-Cola, Spotify e Disney.
A estratégia é simples: quanto mais convincentes forem o endereço e a aparência da página, maior a possibilidade de o candidato acreditar que está diante de um processo seletivo verdadeiro.
3. O site esconde o conteúdo malicioso
É nesse ponto que a campanha se torna mais sofisticada.
Os pesquisadores identificaram mecanismos de evasão nos chamados domínios “HUB”. Quando alguém acessa determinadas páginas diretamente, o site pode mostrar apenas uma página genérica, sem apresentar a funcionalidade utilizada no golpe.
O conteúdo malicioso é ativado somente quando o visitante chega ao endereço por meio de um link específico presente na mensagem de phishing.
Na prática, isso cria uma espécie de filtro: a página tenta identificar se o visitante chegou pelo caminho esperado antes de liberar a próxima etapa da fraude.
4. Surge um falso portal de empregos
Depois de passar pelo mecanismo de ativação, a vítima chega a uma página que imita um portal de carreiras.
O site apresenta vagas, informações sobre oportunidades e elementos visuais associados à empresa falsificada. Tudo é construído para reforçar a sensação de que o candidato está participando de um processo seletivo legítimo.
Essa etapa é importante porque o criminoso não precisa convencer a vítima de que deve fornecer imediatamente sua senha. Primeiro, ele cria um contexto plausível.
5. O candidato encontra uma vaga e decide se candidatar
Depois de navegar pelo falso portal, a vítima encontra uma oportunidade aparentemente compatível com seu perfil.
É então que aparecem botões como “Candidatar-se” ou “Enviar candidatura”.
Para quem acredita estar diante de uma página verdadeira, clicar nesses botões é uma ação completamente normal.
Mas é justamente nesse momento que o golpe muda de estágio.
6. A falsa candidatura exige login pelo Facebook
Em vez de abrir um formulário convencional de candidatura, o usuário é redirecionado para uma página que solicita autenticação por meio do Facebook.
A justificativa pode parecer plausível dentro do contexto de uma plataforma de recrutamento.
O problema é que a página de login é falsa.
Ela foi criada para reproduzir a aparência de uma tela legítima e capturar as credenciais digitadas pelo candidato.
7. A senha chega aos criminosos
Quando a vítima informa seus dados, as credenciais podem ser enviadas diretamente aos operadores da campanha.
A partir daí, o problema deixa de ser apenas uma falsa candidatura. Os criminosos podem tentar utilizar os dados obtidos para assumir o controle da conta do Facebook e explorar outros serviços associados a ela.
É por isso que campanhas desse tipo podem causar consequências muito maiores do que a simples exposição de uma senha.
Por que o golpe consegue enganar até usuários atentos?
Um dos elementos mais perigosos da campanha é justamente a combinação de diferentes técnicas.
Em vez de enviar uma mensagem claramente suspeita e pedir uma senha imediatamente, os criminosos constroem uma sequência que imita o comportamento esperado de um candidato a emprego.
O usuário recebe uma oportunidade, acessa uma página de carreira, pesquisa uma vaga, clica para se candidatar e, somente depois, encontra uma solicitação de login.
Cada etapa reduz a desconfiança porque parece fazer parte de um processo profissional.
“Candidatos a emprego são particularmente vulneráveis porque já estão acostumados a compartilhar informações pessoais e seguir instruções de contatos desconhecidos”, afirma Domininkas Virbickas, da NordVPN.
Como identificar o golpe antes de perder a conta
O primeiro sinal de alerta está no endereço do site.
Uma empresa legítima normalmente utiliza seu próprio domínio oficial para páginas de carreira. Um endereço que combina nomes de empresas com palavras estranhas, extensões incomuns ou domínios que não pertencem à companhia deve ser tratado com desconfiança.
Outro cuidado importante é observar para onde o usuário é levado quando uma página solicita login por uma rede social.
Segundo a NordVPN, uma página legítima de autenticação do Facebook deve utilizar o domínio oficial da plataforma. Se a tela de login estiver hospedada em um endereço desconhecido, o usuário não deve inserir a senha.
Também é recomendável ativar a autenticação multifator nas contas. O recurso adiciona uma camada de proteção caso uma senha seja descoberta ou roubada.
Além disso, ofertas de emprego não solicitadas que exigem ação imediata devem ser analisadas com cautela, principalmente quando chegam por e-mail ou aplicativos de mensagens.
O golpe transforma uma vaga de emprego em uma armadilha digital
A campanha identificada pela NordVPN mostra como os golpes de phishing estão deixando de depender de mensagens obviamente falsas.
Nesse caso, os criminosos criaram uma sequência completa: contato inicial, domínio intermediário, portal de empregos, vagas falsas e, finalmente, uma página destinada ao roubo de credenciais.
O detalhe mais importante é que o ataque não depende apenas de convencer a vítima de que existe uma vaga. Ele precisa fazer com que ela acredite em cada etapa do processo até chegar ao momento de entregar a senha.
Por isso, diante de uma oportunidade de emprego recebida inesperadamente, a recomendação é não utilizar o link enviado na mensagem. O caminho mais seguro é acessar diretamente o site oficial da empresa e procurar a vaga na área de carreiras.
Uma oportunidade profissional pode ser verdadeira. O endereço para onde ela leva é que precisa ser investigado antes de qualquer dado ser informado.
Imagem gerada por IA (Gemini)
