Lažni Google Security Checkup zlorablja dovoljenja brskalnika in zavaja uporabnike
Nova kampanja ne izkorišča ranljivosti v Gmailu, temveč zavaja uporabnike z lažno stranjo, ki posnema uradni Google Security Checkup in jih prepriča v podelitev nevarnih dovoljenj.
Kaj se v resnici dogaja?
Raziskovalci podjetja Malwarebytes so opisali lažno stran, ki je oblikovana kot uradni Googleov varnostni pregled računa. Žrtev dobi vtis, da izvaja legitimne zaščitne korake, v resnici pa strani podeli dostop do funkcij in podatkov, ki jih napadalec nato zlorabi. Kampanja ne pomeni vdora v Gmailovo infrastrukturo in tudi ne dokazuje, da bi bili kompromitirani vsi uporabniki Gmaila. Gre za napreden primer phishinga in socialnega inženiringa, ki izkorišča zaupanje v Googleovo blagovno znamko. Malwarebytes poudarja, da je prav prepričljiv videz celotnega postopka glavni razlog, da je napad nevaren.
- Ne gre za vdor v Gmail.
- Gre za lažno stran, ki posnema uradni varnostni pregled.
- Ključ tveganja je v dovoljenjih, ki jih potrdi uporabnik.
- Naslovi o “1,8 milijarde ogroženih uporabnikov” so pretirani.
Kako napad deluje?
Po ugotovitvah Malwarebytes se napad začne z lažnim varnostnim opozorilom oziroma stranjo, ki uporabnika vodi skozi navidez legitimen “security check”. V postopku lahko stran zahteva dovoljenja za obvestila, dostop do stikov, lokacije in druge funkcije brskalnika ali naprave. Raziskovalci opozarjajo, da že sama PWA plast lahko omogoči zbiranje kontaktov, sledenje lokaciji, prestrezanje nekaterih enkratnih kod in uporabo naprave kot posrednika za promet. Na Androidu naj bi dodatna zlonamerna APK različica omogočala še širši nabor zlorab, vključno z nadzorom zaslona in prestrezanjem vnosa. Posebna nevarnost je v tem, da so vsi ti koraki predstavljeni kot zaščitni ukrepi, ne kot napad.
- Uporabnik vidi lažen “Google Security Check”.
- Spletna stran zahteva dovoljenja pod pretvezo zaščite računa.
- Napadalec lahko zlorabi obvestila, kontakte, lokacijo in druge funkcije.
- Na Androidu je tveganje lahko še večje zaradi dodatne zlonamerne aplikacije.
Zakaj je naslov o Gmailu zavajajoč?
V nekaterih medijskih objavah je kampanja predstavljena, kot da neposredno ogroža 1,8 milijarde uporabnikov Gmaila. To ni enako trditvi, da je bilo 1,8 milijarde računov napadenih, kompromitiranih ali izpostavljenih vdoru. Pravilneje je reči, da je potencialna tarča zelo široka baza uporabnikov Google računov, ker napadalci zlorabljajo prepoznaven Googleov videz in legitimno obstoječ Security Checkup. Google uradno res ponuja varnostni pregled računa, zato je prevara še bolj prepričljiva za manj izkušene uporabnike. Prav zaradi tega morajo mediji jasno ločiti med phishing kampanjo in dejanskim varnostnim incidentom pri ponudniku storitve.
- “Potencialno ogroženi” ne pomeni “kompromitirani”.
- Ni dokazov o vdoru v Gmailovo infrastrukturo.
- Napadalci zlorabljajo legitimno podobo Googleovih varnostnih orodij.
- Natančna terminologija je pri takih novicah ključna.
Kako se lahko uporabniki zaščitijo?
Uporabniki naj do Google varnostnih nastavitev dostopajo izključno neposredno prek svojega računa in ne prek povezav v sporočilih, pojavnih oknih ali oglasih. Google uporabnikom dejansko priporoča redno uporabo funkcije Security Checkup, vendar samo z uradne strani računa. V Chromu je smiselno pregledati, katera spletna mesta imajo dovoljenje za pošiljanje obvestil, ter odstraniti vsa neznana ali sumljiva mesta. Kdor je na sumljivi strani že potrdil dovoljenja ali namestil PWA oziroma aplikacijo, naj dovoljenja takoj prekliče, odstrani aplikacijo in spremeni geslo. Dodatno zaščito prinašata dvostopenjsko preverjanje identitete ter previdnost pri vnosu kod in prijavnih podatkov na straneh, do katerih uporabnik ni prišel neposredno.
- Do Security Checkup dostopaj ročno prek Google računa.
- Preglej in odstrani sumljiva dovoljenja za obvestila v Chromu.
- Odstrani neznane PWA ali aplikacije.
- Zamenjaj geslo, če si podatke že vnesel na sumljivi strani.
- 2FA pomaga, vendar ne zaščiti pred vsako obliko socialnega inženiringa.
Kaj morajo iz te zgodbe odnesti podjetja?
Ta primer znova kaže, da sodobni phishing ni več omejen na očitno slabe kopije prijavnih strani, ampak izkorišča legitimne funkcije brskalnikov in mobilnih naprav. Organizacije morajo zaposlene usposabljati tudi za prepoznavanje zlorab dovoljenj, lažnih varnostnih pregledov in zavajajočih namestitev PWA aplikacij. Smiselno je omejiti nepotrebna dovoljenja v brskalnikih, nadzirati nameščene aplikacije in uporabljati zaščitne mehanizme za preverjanje spletnih mest. Pri odzivu je pomembno, da varnostne ekipe ne iščejo samo ukradenih gesel, temveč tudi zlorabe obvestil, lokacije, kontaktov in drugih dovoljenj. Kampanja je dober opomin, da lahko uporabnik z enim napačnim klikom podeli veliko več dostopa, kot se zaveda.
- Phishing danes pogosto zlorablja legitimne funkcije brskalnika.
- Usposabljanje zaposlenih mora vključevati temo dovoljenj in PWA.
- Nadzor dovoljenj je enako pomemben kot zaščita gesel.
- Incident response mora preveriti tudi zlorabo naprav in ne le računov.
