Google phát thông báo khẩn về hình thức lừa đảo mới đến người dùng Gmail

Hình thức lừa đảo này được Google phát hiện sau khi nhận thông báo từ người dùng Gmail và cũng là một nhà phát triển mang tên Nick Johnson. Theo Johnson, anh đã nhận được email yêu cầu cung cấp thông tin tài khoản từ một tài khoản lừa đảo, đặc biệt những email này ngày càng khó phân biệt với email hợp pháp.

Johnson cho biết, email mà mình nhận được có địa chỉ gửi từ no-reply@accounts.google.com và đã vượt qua quy trình kiểm tra chữ ký DKIM (DomainKeys Identified Mail). Điều đáng lo ngại là Gmail không hiển thị bất kỳ cảnh báo nào và thậm chí còn đưa email này vào cùng một cuộc trò chuyện với các thông báo bảo mật hợp lệ khác.

Nội dung email cảnh báo Johnson rằng Google đã nhận được trát đòi hầu tòa yêu cầu xuất trình bản sao tài khoản của ông. Nếu nhấp vào liên kết trong email, người dùng sẽ được dẫn đến một trang “cổng hỗ trợ” rất thuyết phục được lưu trữ trên sites.google.com.

Lỗ hổng bắt nguồn từ lỗi của Google?

Johnson cho biết, chiến thuật này rất tinh vi vì người dùng sẽ thấy tên miền là http://google.com và dễ dàng cho rằng nó là hợp pháp. Nếu nhấp vào các tùy chọn như “Tải lên tài liệu bổ sung”, người dùng sẽ được chuyển đến trang đăng nhập. Nếu họ nhập thông tin đăng nhập, kẻ lừa đảo có thể thu thập thông tin và xâm phạm tài khoản của họ.

Johnson chỉ ra rằng cuộc tấn công này xảy ra do “hai lỗ hổng trong cơ sở hạ tầng của Google mà họ đã từ chối sửa”. Đầu tiên, sản phẩm cũ sites.google.com cho phép người dùng lưu trữ nội dung trên tên miền phụ google.com và hỗ trợ các tập lệnh tùy ý. Điều này tạo điều kiện cho việc xây dựng các trang web lừa đảo. Ông kêu gọi Google vô hiệu hóa các tập lệnh và nhúng tùy ý trong Sites, vì đây là “một vectơ lừa đảo quá mạnh”.

Mặc dù Johnson đã báo cáo vấn đề này với Google, ban đầu công ty cho rằng đó không phải là lỗi. Tuy nhiên, sau đó Google đã thừa nhận vấn đề và hứa sẽ tung ra bản sửa lỗi. Một phát ngôn viên của Google cho biết: “Chúng tôi biết về loại tấn công có mục tiêu này và đã triển khai các biện pháp bảo vệ trong tuần qua. Những biện pháp này sẽ sớm được triển khai đầy đủ nhằm đóng cửa con đường lạm dụng này”.

Trong khi chờ đợi bản sửa lỗi, Google khuyến nghị người dùng Gmail nên sử dụng xác thực 2 yếu tố (2FA) và mã khóa để tăng cường bảo mật trước các cuộc tấn công lừa đảo. Vụ lừa đảo này cũng nhắc nhở rằng bất kỳ ai cũng có thể trở thành nạn nhân, như trường hợp người sáng lập HaveIBeenPwned.com, Troy Hunt, khi ông cũng đã bị lừa nhấp vào một email độc hại.

Cập nhật tin tức công nghệ mới nhất tại fanpage Công nghệ & Cuộc sống