Google selhal! Geniální phishing útok obchází všechny bezpečnostní bariéry Gmailu

Technické firmy je vyhodí dveřmi, a phishingoví útočníci se vrátí oknem. Je to prozatím nekonečný cyklus souboje kreativity z obou stran, a tentokrát má vrchní ruku strana útočníků. Nejnovější vlna útoků nahání husí kůži i zkušenějším uživatelům, jako je například hlavní vývojář společnosti ENS, Nick Jonshon, který právě přes sociální síť X upozornil na podvodný e-mail. Ten se zkraje tvářil jako legitimní žádost od Googlu a přitom prošel všemi Gmail kontrolami bez jediné výstrahy.

E-mail přišel z adresy no-reply@accounts.google.com, byl skutečně „podepsaný“ doménou Google, a ani Gmail neukázal žádné varování. Uvnitř zprávy pak bylo tlačítko směřující na stránku sites.google.com – službu Googlu, která umožňuje běžným uživatelům vytvářet vlastní weby.

Právě toho útočníci využili a postavili na ní falešnou stránku „Google podpory“, která následně odkazovala na přihlašovací formulář imitující stránku Googlu. Výsledek? Data uživatelů, kteří se nechali napálit, jsou nyní v rukou útočníka.

Jak to, že takový útok Gmailem prošel?

Útočníci zaregistrovali vlastní doménu a k ní vytvořili Google účet, přes který nastavili aplikaci s využitím OAuth. Jako název aplikace použili celý podvodný e-mail. Poté si tento účet sám sobě poslal zabezpečovací notifikaci, která byla podepsána Googlem – a tu následně přeposlali obětem.

Jinými slovy: technicky vše prošlo validací, protože Google OAuth notifikace je vždy považována za důvěryhodnou.

Dobrou zprávou je, že v tomto případě Google údajně přislíbil opravu problému, který umožnil uskutečnění celé této phishingové operace.

Co si z toho vzít?

Tenhle phishing je poněkud věrohodný – může se tvářit jako pravá bezpečnostní notifikace od Googlu, včetně designu, adresy i podepsání zprávy. Nejde o klasický e-mail s podivnou gramatikou nebo podezřelou adresou.

Pokud dostanete e-mail, který vás upozorňuje na nějaký bezpečnostní problém (například že se někdo pokusil přihlásit k vašemu účtu), buďte velmi obezřetní, než na něco kliknete.

V případě, že chcete svůj účet pro jistotu zkontrolovat, neklikejte na tlačítka přímo v e-mailu. Místo toho otevřete prohlížeč, jděte přímo na stránku spravující účty Google a přihlaste se sami. Jen tak máte jistotu, že komunikujete se skutečným Googlem, a ne s jeho podvodnou kopií.

Setkali jste se někdy s phishingem?

Zdroj: X, AndroidAuthority