Atak na konta Google. Zmiana hasła nie pomoże!

Ten atak cyberoszustów był wyjątkowo podstępny (nabrać mógł się niemal każdy) i sprytny, bo standardowa procedura obronna zawiodła. Nawet jeśli zmienicie hasło w usługach Google’a, złodzieje i tak będą mieli dostęp do waszych kont. Jak to możliwe?

Atak zaczyna się od tego, że ofiara na swoją gmailową skrzynkę dostaje mail z linkiem do dokumentu tekstowego, który należy otworzyć w usłudze “Dokumenty Google”. Jeśli kliknie, zostaje skierowana na stronę Google’a, na której wybiera konto pozwalające edytować wspomniany plik tekstowy. Jak na razie nie ma niczego, co mogłoby sugerować oszustwo.

“Haczyk” ukryty jest pod linkiem "Google Docs" - gdybyśmy podświetloną nazwę kliknęli, zobaczylibyśmy, że strona chce przenieść nas w podejrzane miejsce. Tylko czemu mielibyśmy to sprawdzać, skoro znajdujemy się na stronie Google’a i nasza czujność jest uśpiona?

Ofiara w takiej sytuacji wybiera więc swoje google’owe konto i… oddaje je w ręce oszustów.

Przebieg ataku opisał serwis zaufanatrzeciastrona.pl, który tak wyjaśnia oszustwo:

Przez cały czas trwania ataku przebywaliście tylko na stronie Google'a. Domena była prawidłowa, prawidłowy był certyfikat SSL. Przestępcy wykorzystali jednak bardzo sprytną sztuczkę, opisaną kilka dni temu przez firmę Trend Micro. Polega ona na kradzieży tokenu OAuth zamiast zwyczajowej kradzieży hasła. Token ten pozwala użytkownikom pozwolić aplikacji na dostęp do ich danych bez konieczności podawania jej swojego hasła. Przestępcy najpierw tworzą aplikację, którą nazywają na przykład Google Docs. Następnie zgłaszają ją do Google'a, by mogła poprosić użytkowników o tokeny OAuth w celu uwierzytelnienia. W kolejnym kroku wysyłają phishing, w którym wskazują na link prowadzący do procesu uwierzytelnienia aplikacji. Link wygląda wiarygodnie, ponieważ prowadzi do serwerów Google'a. Aplikacja nie wzbudza podejrzeń, ponieważ ma "Google" w nazwie. Jeśli ktoś zgodzi się przyznać jej dostęp do swojej poczty, przestępcy dostają token OAuth, za pomocą którego mogą kontrolować pocztę ofiary.

W praktyce oznacza to, że nawet zmiana hasła nie pomoże. Co więcej, jeśli atak się powiedzie, nasze konto zostaje wykorzystane do zainfekowania innych. Po prostu nieświadomie wysyłamy wiadomości, na które to nas wcześniej “złapano”, do swoich znajomych. Co należy więc zrobić, by pozbyć się nieproszonych gości?

Skorzystać z tej strony Google’a - znajdziemy na niej aplikacje połączone z naszym kontem. Należy odhaczyć wszystkie, które budzą nasze podejrzenie. A na wszelki wypadek najlepiej wyłączyć wszystkie, a następnie ponownie zatwierdzić te, do których mamy stuprocentowe zaufanie.

Google już zablokowało tę metodę oszustwa, więc kolejne osoby na szczęście nie wpadną w sidła cyberprzestępców. Ale ofiar może być jednak sporo, dlatego warto sprawdzić, czy do naszego konta nie jest podpięta podejrzana aplikacja. Opisane oszustwo pokazuje, jak przebiegli mogą być internetowi przestępcy - ich metody są coraz lepsze. I niestety niełatwo się przed nimi bronić...