Una falla in Google Apps permetteva di inviare email a nome di Google

Un hacker armeno ha dimostrato un serio problema di sicurezza in Google Apps durante il fine settimana, che gli ha permesso di raccogliere indirizzi e-mail da parte degli utenti Gmail e inviare loro messaggi molto credibili a nome di Google.  Secondo Graham Cluley, senior technology consultant di Sophos, fornitore del software antivirus, la cosa interessante di questo attacco è che le email canaglia non avevano presentato le consuete intestazioni contraffatte. 

Sono venute da un indirizzo noreply@google.com, attraverso maestro.bounces.google.com e sono state firmate da google.com, che li rende molto adatte per il phishing. I dettagli della vulnerabilità non sono stati comunicati al pubblico e in una mail a TechCrunch l'hacker si è presentato come un ragazzo armeno di 21 anni di nome Vahe G. L'hacker ha proposto il proprio bug sul sito guntada.blogspot.com, dunque utilizzando un server gestito direttamente da Google. 

Potrebbe essere un modo per raccogliere indirizzi email a fini di spam o un sistema utile per agire con finalità di phishing ai danni degli utenti. Inoltre potrebbe essere un modo pericoloso per identificare gli utenti che navigano su siti, per esempio, “a luci rosse”. Le prime analisi identificavano il problema nel contesto di Google Friend Connect, quindi con la capacità di sottrarre l’indirizzo email dell’utente captando semplicemente le informazioni dai precedenti login su siti Google. 

Il gigante della ricerca ha confermato l'esistenza del difetto nel suo Google Apps Script API e ha detto che è stato rapidamente risolto. Il problema era grave, insomma, ma la risoluzione è stata immediata. Tuttavia, i problemi di sicurezza per questo tipologie di problemi sono una minaccia reale, dato che sempre più persone si basano su comunicazioni di posta elettronica, e i loro fornitori di servizi webmail non forniscono una soluzione affidabile, di filtro della casella di posta. Questo è stata una grave falla sulla sicurezza.

Email inviata a TechCrunch dopo la visita al sito contenente l'exploit