Výzkumníci z Guardio Labs rozebrali kampaň, která funguje přes rok a ukradla přes 30 000 Facebook účtů. Jmenuje se AccountDumpling a její největší trik je jednoduchý: útočníci vám pošlou phishing přes Google.

Přesněji přes Google AppSheet legitimní no-code platforma, kterou Google vlastní. Odesílatel e-mailu vypadá takto: noreply@appsheet.com. A protože jde o skutečnou Google adresu, projde e-mail SPF, DKIM i DMARC kontrolami bez jediného varovného signálu. Váš antispam, firemní email gateway, Microsoft Defender všechno to mávne rukou a e-mail pustí dál.

Co přijde do schránky

Zpráva se tváří jako Meta Support. Oznamuje, že váš Facebook Business účet porušil pravidla a bude do 24 hodin smazán pokud nepodáte odvolání. Urgence, panika, odkaz. Klasika. Jenže tentokrát odesílatel vypadá naprosto legitimně.

Guardio identifikoval čtyři různé varianty útoku:

• Stránky na Netlify a Vercel napodobující Facebook support centrum — sbírají hesla, data narození, čísla telefonů i fotky dokladů.
• PDF dokumenty vytvořené v Canvě, hostované na Google Drive, s embedded phishing panelem ovládaným přes WebSockety. Útočník sedí za monitorem a v reálném čase reaguje na to, co oběť zadává.
• Falešní recruiteři vydávající se za Meta, WhatsApp nebo Apple, kteří oběť postupně přesměrují mimo platformu.

Všechna ukradená data hesla, 2FA kódy, osobní údaje končí v Telegram kanálech útočníků.

Tohle není phishing kit. Je to byznys.

AccountDumpling není amatérský projekt. Guardio popisuje „real-time operator panels, advanced evasion, continuous evolution“ a hlavně criminal-commercial loop: ukradené účty se prodávají zpět přes vlastní ilegální storefront. Obchoduje se vším přístupem k účtu, reklamní reputací Business stránky, schopností obnovit ukradený účet.

Přibližně 68 % obětí pochází z USA, zbytek z Evropy, Asie a Ameriky. Operace je připisována vietnamským aktérům a běží minimálně od jara 2025.

Proč je to zajímavé

Zneužívání legitimních platforem není novinka KnowBe4 sleduje stejný pattern u Microsoft, QuickBooks i Telegramu. Ale AppSheet je ukázkový případ: platforma navržená k automatizaci odesílání notifikací se stala hands-free nástrojem pro phishing ve velkém měřítku.

Tradiční email security model stojí na reputaci domény a email autentizaci. Když útočník odesílá z @google.com infrastruktury, model se rozpadá. Technická obrana přestává stačit a zbývá jediná vrstva: uvědomělý uživatel.

Co dělat

Jestli spravujete Facebook Business stránku nebo firemní profil na sociálních sítích:

• Jakýkoli e-mail o „porušení pravidel“ nebo „hrozbě smazání“ ověřte přímo v nastavení účtu — ne přes odkaz z e-mailu.
• Aktivujte přihlášení přes fyzický bezpečnostní klíč (FIDO2), pokud je to možné. MiTM proxy si s ním neporadí.
• Zkontrolujte, kdo má přístup k vašemu Business Manageru. Cizí přístupy rovnou odeberte.

Zdroje:
https://www.scworld.com/brief/vietnamese-operation-uses-google-appsheet-for-facebook-phishing-targets-30000-accounts
https://blog.knowbe4.com/impersonating-meta-powered-by-appsheet-a-rising-phishing-campaign-exploits-trusted-platforms-to-evade-detection