🔵O principal desenvolvedor da ENS revela vulnerabilidade que permite que phishers imitem alertas oficiais do Google

DeThings, 17 de abril – De acordo com https://t.co/B7bzY2vhgG, Nick Johnson, o principal desenvolvedor da ENS, revelou um sofisticado ataque de phishing que explorou uma vulnerabilidade nos sistemas do Google, especificamente uma falha no OAuth que foi corrigida recentemente. Segundo Johnson, os invasores primeiro enviam e-mails fraudulentos que parecem ser do departamento jurídico do Google, alegando falsamente que a conta do destinatário está envolvida em uma investigação de intimação. Esses e-mails carregam assinaturas digitais DKIM autênticas e são enviados de um domínio oficial de no-reply do Google, permitindo que eles contornem facilmente os filtros de spam do Gmail. Johnson apontou que a credibilidade do golpe foi muito aumentada por um hiperlink para um portal de suporte falso em https://t.co/HP7vhtKBzb. Esta página de login falsa do Google expôs duas grandes vulnerabilidades de segurança: primeiro, a plataforma Google Sites permite a execução de scripts arbitrários, permitindo que criminosos criem páginas para roubar credenciais; segundo, o próprio protocolo OAuth tem falhas.

Johnson criticou o Google por inicialmente considerar essa vulnerabilidade como "funcionando conforme o esperado" e enfatizou que ela representa uma séria ameaça. Pior ainda, o portal falso usa https://t.co/HP7vhtKBzb, um domínio confiável, como cobertura, reduzindo muito a vigilância dos usuários. Além disso, o mecanismo de denúncia de abuso do Google Sites é imperfeito, dificultando o fechamento oportuno de páginas ilegais. Sob pressão pública, o Google finalmente admitiu que havia um problema. Johnson confirmou posteriormente que o Google planeja corrigir a falha no protocolo OAuth. Especialistas em segurança alertam os usuários para permanecerem vigilantes e desconfiarem de quaisquer documentos legais inesperados, e para verificarem cuidadosamente a autenticidade dos endereços da web antes de inserir as credenciais.