30.000 cuentas de Facebook hackeadas mediante una campaña de phishing con Google AppSheet

Investigadores de ciberseguridad han descubierto una campaña de phishing que utiliza Google AppSheet para distribuir correos fraudulentos con el objetivo de comprometer cuentas de Facebook. La operación, bautizada como AccountDumpling por la empresa Guardio, consiste en la venta de las cuentas robadas en mercados ilegales, afectando a aproximadamente 30.000 usuarios. 

Según el investigador Shaked Chen, esta no es una simple campaña de phishing, sino una operación en constante evolución con paneles de control en tiempo real, sistemas avanzados de evasión y un modelo criminal que se alimenta de las propias cuentas que ayuda a recuperar. 

Los ciberdelincuentes, presuntamente vietnamitas, emplean tácticas sofisticadas para acceder a cuentas de Facebook y luego venderlas en mercados clandestinos. El ataque comienza con un correo electrónico de phishing dirigido a propietarios de Facebook Business, que suplanta al Soporte de Meta y amenaza con eliminar la cuenta si no se presenta una apelación. Estos mensajes se envían desde la dirección noreply@appsheet.com, lo que les permite eludir filtros de spam.

La falsa urgencia redirige a las víctimas a páginas web fraudulentas diseñadas para robar credenciales. Esta táctica no es nueva: en mayo de 2025, KnowBe4 reportó una campaña similar.

Guardio ha identificado cuatro métodos principales utilizados en estos ataques:

• Páginas falsas del centro de ayuda de Facebook alojadas en Netlify, que roban credenciales y datos personales como fechas de nacimiento, números de teléfono y fotos de documentos de identidad, enviándolos a canales de Telegram controlados por los atacantes.
• Señuelos de verificación de "insignia azul" que guían a las víctimas a páginas de "Verificación de seguridad" en Vercel, donde se les pide completar un CAPTCHA falso antes de redirigirlos a un formulario de phishing para robar credenciales y códigos 2FA.
• PDFs fraudulentos en Google Drive que simulan instrucciones para verificar cuentas, solicitando contraseñas, códigos 2FA y documentos de identidad. Estos PDFs se generan con una cuenta gratuita de Canva.
• Ofertas de trabajo falsas que suplantan a empresas como Meta, WhatsApp o Apple para engañar a las víctimas y llevarlas a sitios controlados por los atacantes.

Los canales de Telegram asociados a estos ataques contienen alrededor de 30.000 registros de víctimas, principalmente en Estados Unidos, Italia, Canadá y otros países. Muchas de estas cuentas han sido bloqueadas para sus legítimos dueños.

Las evidencias apuntan a un grupo vietnamita liderado por PHẠM TÀI TÂN, cuyo nombre aparece en los metadatos de los PDFs generados con Canva. Además, se ha identificado un sitio web (phamtaitan[.]vn) donde ofrecen servicios de marketing digital.

Chen concluye que esta campaña refleja un mercado negro en torno a las cuentas de Facebook robadas, donde el acceso, la identidad comercial y la reputación publicitaria se convierten en mercancías. Se trata de un ejemplo más de cómo plataformas confiables son explotadas para fines delictivos.

Fuente: THN