Criminosos usam contas do Notion e PDFs com links ocultos para roubar senhas

Um grupo de cibercriminosos com motivação financeira começou a abusar de contas gratuitas da plataforma de produtividade e organização Notion para aplicar golpes e roubar acessos de empresas.

O método foi identificado pela equipe de inteligência e pesquisa da Sublime Security (Stir), que publicou a descoberta na quinta-feira (20) e batizou o grupo de invasores de “Doubloon Dredger”.

De acordo com o relatório técnico, o ataque tem início quando os cibercriminosos criam contas no Notion que se passam por executivos de alto escalão das organizações visadas.

Por meio desses perfis, os invasores disparam notificações oficiais de compartilhamento de documentos para funcionários da mesma empresa.

Como as mensagens saem dos servidores legítimos do Notion , os e-mails passam com facilidade pelas principais checagens de autenticação e filtros de segurança da caixa de entrada corporativa.

A armadilha do documento compartilhado Ao receber o aviso no e-mail, o funcionário acredita se tratar de um comunicado interno urgente e clica no botão para acessar o conteúdo.

A vítima é, então, direcionada para um arquivo PDF intermediário hospedado na nuvem.

No documento, há um botão com o texto “Review and Sign” (Revisar e Assinar).

Ao clicá-lo, o usuário cai em uma página fraudulenta que imita uma tela oficial do Adobe Acrobat , mas que faz, na verdade, parte de um sistema clandestino de roubo de acessos chamado EvilTokens .

Print do e-mail recebido por um funcionário pelo Notion (Reprodução/Sublime) Os pesquisadores de segurança da Stir escreveram, no relatório, que a tática os surpreendeu pelo encadeamento de ferramentas.

“Embora o roubo de acessos seja comum, o agente da ameaça combinou várias táticas incomuns para este ataque inédito: eles abusam do Notion para obter acesso a um remetente legítimo de e-mails, com infraestrutura de boa reputação e um local para hospedar um PDF malicioso”.

Print da tela falsa que se assemelha ao Adobe (Reprodução/Sublime) A página falsa exibe um código e orienta o funcionário a entrar no site oficial da Microsoft para digitar esses números.

Quando insere o código na página verdadeira, a vítima autoriza a entrada do invasor no sistema da empresa sem perceber.

Com a chave de acesso liberada, os golpistas entram na conta corporativa sem precisar saber a senha e conseguem inclusive ler e enviar e-mails diretamente pela caixa de entrada invadida.