🔵El desarrollador jefe de ENS revela una vulnerabilidad que permite a los *phishers* imitar las alertas oficiales de Google

DeThings, 17 de abril. Según informa https://t.co/B7bzY2vhgG, Nick Johnson, desarrollador jefe de ENS, ha revelado un sofisticado ataque de *phishing* que aprovecha una vulnerabilidad en los sistemas de Google, especialmente una vulnerabilidad de OAuth que ya ha sido corregida. Según la descripción de Johnson, los atacantes primero envían correos electrónicos fraudulentos que parecen provenir del departamento legal de Google, alegando falsamente que la cuenta del destinatario está involucrada en una investigación de citación. Estos correos electrónicos tienen firmas digitales DKIM auténticas y se envían desde el dominio oficial de no-reply de Google, lo que les permite eludir fácilmente los filtros de *spam* de Gmail. Johnson señala que la credibilidad de la estafa se ve reforzada por un hipervínculo a un portal de soporte falso en https://t.co/HP7vhtKBzb. Esta página de inicio de sesión falsa de Google expuso dos grandes vulnerabilidades de seguridad: primero, la plataforma Google Sites permite la ejecución de *scripts* arbitrarios, lo que permite a los delincuentes crear páginas para robar credenciales; segundo, el protocolo OAuth en sí tiene defectos.

Johnson criticó que Google inicialmente considerara esta vulnerabilidad como "conforme a lo esperado" y enfatizó que la vulnerabilidad representa una seria amenaza. Para empeorar las cosas, el portal falso utiliza https://t.co/HP7vhtKBzb, un dominio confiable, como tapadera, lo que reduce en gran medida la vigilancia de los usuarios. Además, el mecanismo de denuncia de abuso de Google Sites es imperfecto, lo que dificulta el cierre oportuno de las páginas ilegales. Bajo la presión pública, Google finalmente reconoció que había un problema. Johnson confirmó posteriormente que Google planea corregir los defectos del protocolo OAuth. Los expertos en seguridad advierten a los usuarios que permanezcan alerta, que sospechen de cualquier documento legal inesperado y que verifiquen cuidadosamente la autenticidad de la URL antes de ingresar sus credenciales.