Det var precis vad som hände i onsdags, när ett nätfiskesystem exploderade som använde Googles eget OAuth-autentiseringssystem för att ge åtkomst till en elak webbapp. Till skillnad från andra nätfiskesystem som använder en falsk internetadress för att locka till sig det oväntade, dök denna attack bara upp en auktoriseringsbegäran från Google med en missvisande apptitel.
Rekommenderade videor
Det är viktigt att notera det Google svarade snabbt och tog bort den stötande appen, vilket stänger av detta specifika nätfiskesystem. Själva nätfiskemetoden verkar dock inte ha rättats till. Här är Googles uttalande:
"Vi har vidtagit åtgärder för att skydda användare mot ett e-postmeddelande som utger sig för att vara Google Dokument och har inaktiverat kränkande konton. Vi har tagit bort de falska sidorna, skickat uppdateringar genom Säker webbsökning och vårt missbruksteam arbetar för att förhindra att den här typen av spoofing händer igen. Vi uppmuntrar användare att rapportera nätfiske-e-postmeddelanden i Gmail."
De Problemet uppmärksammades ursprungligen på Reddit, där Redditor JakeSteam gav en steg-för-steg-återskapande av attacken. Attacken har också setts i naturen av Digital Trends egen personal, så vi kan bekräfta att dessa steg är korrekt beskrivna.
Processen var relativt enkel. Ett potentiellt offer fick ett e-postmeddelande som erbjöd sig att dela ett Google-dokument.
JakeSteam/Reddit
Genom att klicka på knappen "Öppna i dokument" öppnades en legitim skärm för val av Google-konto, som när du klickade på den returnerade en lika legitim Google-autentiseringsbegäran för att ge appen åtkomst till användarens Gmail- och Google-kontaktinformation.
JakeSteam/Reddit
Det är bara genom att klicka på Google Dokuments utvecklarlänk som den typiska användarens misstankenivå kan höjas. Problemet här är att många människor kan lita på ett erbjudande om att dela en Google Docs-fil och då skulle det vara helt logiskt att Google Docs kan vara systemet som begär åtkomst.
Om du redan har fallit offer för detta nätfiskeschema, så vill du inte tillåta den appen att komma åt din data. Du kan göra det genom att besöka avsnittet Anslutna appar och webbplatser på Googles säkerhetssida och klicka på "Hantera appar". Klicka sedan på Google Dokument-appen i listan och tryck på knappen "Ta bort". Nu kan det vara ett bra tillfälle att granska alla dina anslutna appar och ta bort alla som inte är legitima.
Den primära lektionen här är densamma som den har varit länge nu: Om du inte förväntar dig en delad fil, klicka inte på någonting när en erbjuds. Om du inte är säker på vem filen kommer från, titta på avsändaren och se till att det är någon du litar på.
Google kommer sannolikt att undersöka det här problemet och förhoppningsvis hitta ett sätt att lösa det. Denna specifika nätfiskeattack stängdes av, men möjligheten att använda Googles legitima autentiseringssystem för attacker är oroande.
Redaktörens rekommendationer
- Varför minskar Google webbåtkomsten för vissa av sina anställda?
- Google gjorde just detta viktiga säkerhetsverktyg för Gmail helt gratis
- Hälften av Google Chrome-tilläggen kan samla in dina personuppgifter
- Nya covid-19-nätfiske-e-postmeddelanden kan stjäla dina affärshemligheter
- Detta farliga nya hackerverktyg gör nätfiske oroande enkelt
Uppgradera din livsstilDigitala trender hjälper läsare att hålla koll på den snabba teknikvärlden med alla de senaste nyheterna, roliga produktrecensioner, insiktsfulla redaktioner och unika smygtittar.
