Okazuje się, że scammerzy zaczęli nadużywać system weryfikacji, który stosunkowo niedawno został wdrożony do Gmaila – klient pocztowy stał się więc znacznie mniej bezpieczny. Użytkownicy muszą teraz jeszcze uważniej spoglądać na otrzymane wiadomości, by przypadkiem nie uwierzyć ślepo w kolorowy znaczek widniejący przy nazwie. Google początkowo zbyło osoby zgłaszające problem, lecz na szczęście nagłośnienie sprawy zmieniło nastawienie koncernu. Przyjrzyjmy się temu nieco bliżej.
Gmail stał się mniej bezpiecznym klientem
Gmail zyskał funkcję mającą na celu podniesienie standardów prywatności oraz bezpieczeństwa. Firmy i organizacje mogą bowiem zweryfikować swoją tożsamość przy pomocy odpowiednich systemów (BIMI, VMC czy DMARC). Po przejściu odpowiednich procedur dany podmiot zyska niebieski znacznik oraz specjalne logo pozwalające klientom na sprawniejsze rozpoznanie, czy dana zawartość pochodzi z oficjalnego źródła. Nie trzeba było długo czekać, by nowość zainteresowała osoby lubiące działać nielegalnie. O co dokładnie chodzi?
Chris Plummer, inżynier ds. cyberbezpieczeństwa, poinformował o oszustach, którzy odkryli sposób na obejście zabezpieczeń koncernu. Są oni w stanie sprawić, że wysłane przez nich wiadomości wyglądają tak, jakby przyszły od zaufanego nadawcy. Podobno część osób zdołała przejść kontrolę integralności bez podania wystarczających dowodów na prawdziwość podanych danych. Mężczyzna więc skontaktował się w tym celu z Google i poinformował firmę o znalezisku.
There is most certainly a bug in Gmail being exploited by scammers to pull this off, so I submitted a bug which @google lazily closed as “won’t fix – intended behavior”. How is a scammer impersonating @UPS in such a convincing way “intended”. pic.twitter.com/soMq7KraHm
— plum (@chrisplummer) June 1, 2023
Raport o błędzie został jednak prędko zamknięty, natomiast problem sklasyfikowano jako „zamierzone zachowanie”, co wydało się jeszcze dziwniejsze. Dlatego też ekspert nie dał za wygraną i poinformował o wszystkim na Twitterze, gdzie przy okazji wyraził swoją frustrację zachowaniem korporacji. Społeczność zareagowała na doniesienia w dosyć jednoznaczny sposób i szybko zaczęto udostępniać wpis. Ruch zrobił się na tyle spory, że Google postanowiło zareagować raz jeszcze.
Obiecano, iż sprawa zostanie odpowiednio przebadana. Exploit musi teraz przejść odpowiednią weryfikację, dopiero potem przyjdzie czas na rozwiązanie. Niezwykle podejrzane jest jednak to, że Chris był zmuszony najpierw nagłośnić akcję, by technologiczny gigant w ogóle okazał zainteresowanie tak poważnych kłopotem.
Czekamy na rozwój wydarzeń.
Źródło: Twitter (@chrisplummer), Android Police / Zdjęcie otwierające: pexels.com, Google