Una estafa de phishing sofisticada se está aprovechando de los defectos de seguridad de Google para convencer a las personas de que los correos electrónicos y el sitio web maliciosos son legítimos.

En una serie de publicaciones X Gastado por Android Authorityel desarrollador Nick Johnson explicó cómo estaba dirigido por un ataque de phishing Eso explota fallas en la propia infraestructura de Google. En su primera publicación, Johnson incluye una captura de pantalla del correo electrónico de estafa alegando que Google había recibido una citación que requiere que produzca una copia de sus datos de la cuenta de Google.

Asimismo: ¿Haga clic en un enlace de phishing? 7 pasos a tomar de inmediato para proteger sus cuentas

El texto del correo electrónico se lee correctamente; Es proponer, usa los términos correctos y no contiene ningún tipo de errores o inglés roto. El mensaje en sí es considerado válido y firmado por Google. Se envía desde No-Repply@google.com, una dirección legítima y automatizada utilizada en la empresa. El correo electrónico en sí pasa la comprobación de la firma DKIM, que tiene como objetivo revisar la autenticidad de un mensaje. No aparecen otras advertencias, por lo que esto parece completamente auténtico.

Hacer clic en un enlace de sitios en el correo electrónico lo lleva a un portal de soporte que parece una página vivo de Google. La página incluso está alojada en Sitios de Googleuna plataforma donde las personas pueden crear y ejecutar sus propios sitios web. El uso de una plataforma de este tipo agrega licitud a la estafa, ya que la concurrencia supone que es el real negocio.

Hacer clic en un enlace a “cargar documentos adicionales” o “Caso de panorámica” lo lleva a una pantalla de inicio de sesión, que incluso parece que proviene de Google. En este punto, hay un aviso de que esto podría ser una estafa. Como señala Johnson, la pantalla de inicio de sesión está alojada en los sitios de Google en circunstancia de una página de cuentas de Google, donde normalmente inicia sesión.

Fue entonces cuando Johnson terminó el proceso. Si hubiera ingresado su nombre de agraciado y contraseña, su presunción es que los atacantes habrían robado sus credenciales de inicio de sesión y las usaron para comprometer su cuenta de Google.

“Este fresco ataque de phishing ha explotado las características legítimas de Google para cursar correos electrónicos elaborados que evitan algunos controles tradicionales, así como para utilizar los sitios de Google para meter páginas falsificadas y recoger credenciales”, dijo Melissa Bischoping, jefa de investigación de seguridad en la firma de ciberseguridad Tanium.

“El correo electrónico aprovechó una aplicación OAuth combinada con una posibilidad creativa de DKIM para evitar los tipos de salvaguardas destinadas a proteger contra este tipo exacto de intento de phishing”, explicó Bischoping. “Lo que hace que esta táctica sea particularmente peligrosa no es solo el colección técnico de la mano, sino el uso deliberado de los servicios de confianza para acontecer por los usuarios y las herramientas de detección”.

La delito de esta estafa obviamente debe dirigirse directamente a los propios estafadores. Pero Google incluso está en el garfio, ya que esta correr es posible conveniente a un par de vulnerabilidades de seguridad.

Asimismo: las mejores extensiones de VPN para Chrome: perito probado y revisado

Primero, Google Sites es un producto heredado que todavía permite scripts e incrustaciones arbitrarias, según Johnson. Esta cariño podría permitir que un atacante agregue código improcedente y bellaco y objetos integrados a una página web. En segundo circunstancia, una inspección más cercana del correo electrónico revela que no proviene de Google sino de un privateMail.com DIRECCIÓN. Eso plantea la cuestión de cómo y por qué Google lo firmó en primer circunstancia.

Luego de acoger el correo electrónico de estafa, Johnson dijo que contactó a Google para alertarlos sobre las vulnerabilidades. Inicialmente, la compañía aparentemente dejó de costado sus preocupaciones, alegando que todo esto era un comportamiento previsto. Pero luego Google revirtió su postura y desde entonces ha indicado que solucionará estos errores.

“Más actores de amenazas eligen deliberadamente utilizar los servicios que tienen casos de uso comercial muy legítimos, subrayando la tendencia de que, a medida que las herramientas de detección se fortalecen, los adversarios buscan formas de escamotear la detección por completo, no necesariamente superarlos con hazañas costosas”, dijo Bischoping. “Se están centrando en las herramientas, sitios y funciones que las organizaciones usan en su trabajo diario. Al combinarse con el tráfico frecuente, y la probabilidad de que un destinatario pintoresco no se vea tan de cerca en un dominio de confianza como ‘Google.com’, los actores de amenaza tienen una reincorporación tasa de éxito sin una inversión significativa”.

Gracias a Johnson no solo por atrapar esta estafa y advertir a la concurrencia, sino por presionar a Google para resolver el problema. Hasta que se despliegue una posibilidad, ¿cómo puede defenderse contra ataques de phishing tan sofisticados?

Asimismo: los ataques cibernéticos que roban datos están aumentando: 7 formas de defenderse y su negocio

Thomas Richards, director de actos de seguridad de infraestructura del proveedor de seguridad Black Duck, ofrece las siguientes recomendaciones.

1. Tenga cuidado con cualquier correo electrónico que inste a la entusiasmo inmediata y le diga que podría confrontar consecuencias negativas. Esto es típicamente una señal de que el correo electrónico es bellaco.
2. Consulte las direcciones de correo electrónico “de” y “a”. Si el dominio “de” no es la compañía vivo o el destinatario “para” no es usted, el correo electrónico es probable que sea una estafa.
3. Evite hacer clic en los enlaces en el correo electrónico. En el ataque descrito por Johnson, el sitio bellaco está alojado en un dominio de Google. Sin incautación, Google nunca le enviaría una queja lícito y luego lo dirigiría al dominio de Google Sites. Si tiene dudas, inicie sesión en su cuenta de Google por separado sin hacer clic en cualquier enlace y vea si algún mensaje o alertas lo está esperando.
4. Finalmente, ejecute una búsqueda en dirección del contenido del correo electrónico. Eso puede decirle si otros lo han informado como una estafa o han recibido un correo electrónico similar.

Manténgase por delante de las informativo de seguridad con Tecnología hoyentregado a su bandeja de entrada todas las mañanas.