Por Marcelo Fischer Salvatico | 11/06/2026 às 19:00

Pesquisadores identificaram uma campanha de phishing que usa falsas vagas de emprego atribuídas à L'Oréal para roubar credenciais de acesso a contas de e-mail.

O golpe funciona em etapas: primeiro coleta dados pessoais do candidato e, numa segunda fase, solicita a senha do e-mail sob o argumento de que a medida seria necessária para validar a candidatura. A L'Oréal não tem qualquer relação com as mensagens ou páginas fraudulentas identificadas.

Segundo a ESET, empresa de segurança digital que identificou o golpe, outras marcas globais como Coca-Cola, RedBull e Ogilvy também já tiveram seus nomes usados em campanhas com estrutura semelhante.

O primeiro contato com a vítima ocorre por e-mail. As mensagens aparentam ter sido enviadas por recrutadores ou equipes de recursos humanos e apresentam supostas vagas atrativas, com um link para avançar nas etapas do processo seletivo.

Antes mesmo do clique, já é possível identificar a fraude. Embora o nome do remetente mencione uma suposta recrutadora da empresa, o domínio do endereço eletrônico não tem relação com os canais oficiais da L'Oréal.

Ao acessar o link, a vítima é direcionada a uma página que imita plataformas comuns em processos seletivos, com aparência profissional e campos para preenchimento de dados. Nessa etapa inicial, os criminosos pedem informações habituais em candidaturas, como nome completo, telefone, histórico profissional e endereço de e-mail.

A solicitação do e-mail, segundo a ESET, não acontece por acaso. O objetivo é personalizar a próxima etapa do golpe. Após o envio dos dados, a página passa a exibir o próprio endereço informado pelo usuário e solicita a senha da conta, alegando que isso é necessário para prosseguir com a candidatura.

Caso a vítima forneça a senha, os criminosos assumem o controle da conta de e-mail. A partir daí, o impacto pode se ampliar: é possível redefinir senhas de outros serviços vinculados ao endereço, acessar informações pessoais e profissionais armazenadas na caixa de entrada, enviar mensagens fraudulentas para contatos e disseminar novas campanhas de phishing.

Dependendo de quais serviços estão conectados ao e-mail comprometido, a extensão do dano pode chegar a redes sociais, plataformas corporativas, aplicativos financeiros e contas bancárias.

Santos também ressalta a sofisticação crescente desse tipo de ataque. "Hoje, o phishing não depende mais de mensagens mal escritas ou erros evidentes. Muitos golpes apresentam aparência extremamente profissional e reproduzem com precisão comunicações corporativas legítimas".

Fonte original: canaltech.com.br