Faux pages Calendly ' Meta Careers ' volent les identifiants Facebook et Google

🎯 Contexte

Source : Malwarebytes ThreatLabs, publié le 14 octobre 2026 par Stefan Dasic. L’article documente une campagne de phishing active exploitant l’image de Calendly et de Meta pour cibler des chercheurs d’emploi.

🕵️ Description de l’attaque

Des attaquants ont déployé 11 domaines de phishing imitant des pages de réservation Calendly pour de faux entretiens d’embauche chez Meta. Le flux d’attaque suit une séquence en plusieurs étapes :

1. Fausse page Calendly : intitulée « Calendly | Meta Careers », avec calendrier interactif chargé depuis le serveur des attaquants
2. Collecte de données personnelles : nom, email, téléphone
3. Faux CAPTCHA : grille d’images pour contourner les scanners automatisés
4. Fausse fenêtre de connexion Facebook : avec fausse barre d’adresse simulant un pop-up navigateur légitime
5. Vol du code 2FA Facebook : le site relaie en temps réel le code vers le vrai Facebook avant expiration
6. Fausse connexion Google : prétexte « Facebook requires you to sign in to the Gmail address », avec vol du mot de passe et des facteurs d’authentification Google
7. Fausse confirmation : message indiquant qu’une invitation a été envoyée

⚙️ Mécanisme de contournement du 2FA

Le kit de phishing opère en temps réel : il interroge continuellement le serveur des attaquants pour savoir quel écran afficher. Les attaquants utilisent immédiatement les identifiants volés sur les vrais services, relayant les demandes de codes ou d’approbations de prompts téléphoniques à la victime encore connectée sur la fausse page (attaque de type AiTM – Adversary-in-the-Middle).

🔧 Caractéristiques du kit de phishing

• Version : 0.8.0
• Journalisation d’erreurs détaillée et support de clés de campagne suggérant un kit réutilisable multi-campagnes
• Endpoint de collecte : Amazon API Gateway, région AWS ap-southeast-1 (Singapour)
• Commentaire en vietnamien dans le code source : « Change the key here when deploying to production »
• Domaines : 11 domaines suivant le pattern join + mot lié au recrutement sur les TLDs .cfd, .info, .works

🏭 Secteurs et cibles

Les victimes visées sont des chercheurs d’emploi, attirés par une fausse opportunité chez Meta. Les comptes Facebook liés à des pages business ou comptes publicitaires sont particulièrement valorisés par les attaquants.

📋 Type d’article

Analyse technique et threat intelligence publiée par un éditeur de sécurité, visant à documenter une campagne de phishing active et à fournir des indicateurs de compromission exploitables.

🧠 TTPs et IOCs détectés

TTP

• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1056.003 — Input Capture: Web Portal Capture (Collection)
• T1557 — Adversary-in-the-Middle (Credential Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1585.001 — Establish Accounts: Social Media Accounts (Resource Development)
• T1583.001 — Acquire Infrastructure: Domains (Resource Development)
• T1036 — Masquerading (Defense Evasion)
• T1119 — Automated Collection (Collection)

IOC

• Domaines : joinconnect.cfd — VT · URLhaus · ThreatFox
• Domaines : joinconnect.works — VT · URLhaus · ThreatFox
• Domaines : joinhire.cfd — VT · URLhaus · ThreatFox
• Domaines : joinhire.info — VT · URLhaus · ThreatFox
• Domaines : joinquest.cfd — VT · URLhaus · ThreatFox
• Domaines : joinquest.info — VT · URLhaus · ThreatFox
• Domaines : joinquest.works — VT · URLhaus · ThreatFox
• Domaines : jointhetalent.cfd — VT · URLhaus · ThreatFox
• Domaines : jointhetalent.info — VT · URLhaus · ThreatFox
• Domaines : jointhetalent.works — VT · URLhaus · ThreatFox
• Domaines : jointheteam.cfd — VT · URLhaus · ThreatFox
• URLs : https://rkrt01c0mc.execute-api.ap-southeast-1.amazonaws.com — URLhaus

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 14 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Phishing Kit v0.8.0 (Meta Careers / Calendly lure) (other)

🟢 Indice de vérification factuelle : 70/100 (haute)

• ✅ malwarebytes.com — source reconnue (liste interne) (20pts)
• ✅ 12994 chars — texte complet (fulltext extrait) (15pts)
• ✅ 12 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ 0/4 IOCs confirmés externellement (0pts)
• ✅ 8 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.malwarebytes.com/blog/threat-intel/2026/10/fake-calendly-meta-careers-pages-steal-facebook-and-google-logins