Uma nova onda de ataques cibernéticos está chamando a atenção de especialistas em segurança digital. Criminosos passaram a utilizar o Google AppSheet, uma plataforma legítima da gigante da tecnologia, para enviar e-mails fraudulentos capazes de burlar filtros antispam e convencer vítimas a fornecer informações pessoais e credenciais de acesso, segundo um estudo da Kaspersky.
O esquema utiliza o endereço oficial [email protected], vinculado à infraestrutura do Google, o que aumenta significativamente a credibilidade das mensagens. Como resultado, muitos desses e-mails chegam diretamente à caixa de entrada dos usuários sem serem identificados como ameaças.
Como funciona o golpe
Os criminosos criam aplicativos simples no AppSheet e utilizam a plataforma para disparar mensagens que se passam por comunicações de empresas conhecidas, como Google, Apple, Meta, Coca-Cola e Volvo.
As mensagens costumam ser personalizadas com o nome da vítima e explorar emoções como o medo, a urgência ou o entusiasmo. Entre os exemplos mais comuns estão:
- Avisos de suposta atividade suspeita em contas;
- Notificações sobre bloqueios iminentes;
- Convites para entrevistas de emprego;
- Promessas de obtenção do selo Meta Verified;
- Alertas falsos de violação de políticas de plataformas digitais.
Ao clicar nos links fornecidos, as vítimas são direcionadas para páginas falsas que imitam serviços legítimos. Nesses sites, acabam fornecendo dados pessoais, informações de contato e senhas que podem ser usados em novos golpes ou comercializados na dark web.
Risco de perda total da conta
Em alguns casos, especialmente quando os criminosos se passam por recrutadores da Apple, as consequências podem ser ainda mais graves. As vítimas podem ser convencidas a acessar uma suposta conta corporativa controlada pelos invasores.
Após essa ação, os criminosos assumem o controle dos dispositivos vinculados à conta, podendo ativar recursos como o Modo Perdido e exigir pagamento para devolver o acesso a esses dispositivos.
Golpes também atingem usuários do Facebook
Outra campanha identificada utiliza a imagem da Meta para prometer o famoso selo azul de verificação. As vítimas recebem mensagens informando que foram selecionadas para receber o benefício e que precisam apenas preencher um formulário de validação.
Na prática, o formulário serve para coletar credenciais de acesso ao Facebook e outras informações sensíveis.
Há ainda versões do golpe que alegam violações de propriedade intelectual e ameaçam excluir páginas ou perfis caso o usuário não realize uma verificação imediata.
Como se proteger
Especialistas recomendam atenção redobrada a mensagens inesperadas, mesmo quando enviadas por endereços aparentemente legítimos.
Entre as principais medidas de proteção estão:
- Verificar cuidadosamente o endereço real do remetente;
- Desconfiar de mensagens que criam senso de urgência ou oferecem recompensas extraordinárias;
- Conferir o domínio dos sites antes de inserir qualquer informação;
- Utilizar autenticação em dois fatores (2FA);
- Adotar gerenciadores de senhas para identificar páginas falsas;
- Priorizar o uso de chaves de acesso (passkeys), que oferecem maior resistência a ataques de phishing.
Ataques estão cada vez mais sofisticados
O caso envolvendo o Google AppSheet reforça uma tendência preocupante no cenário da cibersegurança: criminosos estão explorando serviços legítimos e amplamente confiáveis para aumentar a eficácia de campanhas de phishing.
Com técnicas cada vez mais avançadas e personalizadas, especialistas alertam que a melhor defesa continua sendo a combinação de ferramentas de segurança atualizadas e atenção constante ao receber mensagens, links ou solicitações inesperadas na internet.
Imagem gerada por IA (ChatGPT)
