Suporte falso: nova onda de spam usa e-mails oficiais da Zendesk para golpe
Por Lillian Sibila Dala Costa • Editado por Jones Oliveira |
Uma nova onda de e-mails de spam está atingindo a caixa de entrada de usuários de todo o mundo: hackers estão explorando sistemas de suporte não seguros da Zendesk para automatizar o envio de mensagens que parecem legítimas, pedindo a ativação de conta ou atividades semelhantes, ao ponto de vítimas receberam diversas mensagens falsas de companhias diferentes no mesmo dia.
Nas redes sociais, alguns internautas compartilharam ter recebido até mesmo centenas de e-mails com assuntos alarmantes ou estranhos, como “Ative sua conta” e outras comunicações semelhantes a um atendimento de suporte legítimo. Elas parecem respostas automáticas dos sites em questão, mesmo que o usuário não tenha conta ou não tenha emitido ticket algum.
Exploração do Zendesk
Um dos afetados, o pesquisadores de segurança Jonathan Leitschuh, sugeriu que o Zendesk estaria sofrendo DDoS no sistema de ticket de suporte por conta do volume de mensagens recebido. Como no incidente anterior, no início deste ano, os e-mails parecem ter origem em instâncias legítimas do Zendesk, o que garante que passem tranquilamente por filtros de spam.
Em janeiro, hackers exploraram a habilidade de usuários não verificados submeterem tickets de suporte a terceiros através do Zendesk, usando o e-mail de confirmação para enganar vítimas e fazê-las clicar em links maliciosos ou pagar valores indevidos. Empresas como Dropbox e 2K relataram terem sido afetadas pelo incidente, pedindo aos usuários que ignorassem os e-mails.
A plataforma de suporte, desde então, corrigiu o problema, mas, como a onda recente é bastante similar, supõe-se que os hackers tenham encontrado uma maneira de circundar as defesas novamente.
Em 2025, a empresa emitiu comunicados aos usuários sobre o tipo de abuso de tickets, informando que companhias podem prevenir o abuso ao restringir a criação de tickers apenas a usuários verificados, além de remover modelos que permitam qualquer e-mail ou assunto de ser usado.
A Zendesk não emitiu comentários oficiais sobre o incidente até o momento, mas o Canaltech atualizará a matéria caso novidades sobre o caso surjam.
Confira também:
- Avast lança "detector de deepfake" para Windows que analisa vídeos em tempo real
- Acabou o mito: Microsoft alerta para explosão de infostealers no macOS
- Campanhas de phishing exploram plataformas de nuvem usadas por empresas
VÍDEO | COMO IDENTIFICAR CHAMADA SPAM ANTES DE ATENDER | Dicas | #shorts
Fonte: Jonathan Leitschuh