Tehnološki div Google izdao je hitno upozorenje nakon što je otkriven izuzetno sofisticirani phishing napad koji ugrožava sigurnost podataka čak 1,8 milijardi korisnika Gmaila. Ova prijevara, koja je koristila Googleovu vlastitu infrastrukturu kako bi zavela korisnike, izazvala je uzbunu u tehnološkom svijetu, a prvi ju je prijavio programer za kripto platformu Ethereum, Nick Johnson.

Johnson je na platformi X u srijedu podijelio uznemirujuće iskustvo, otkrivši kako je postao meta napada koji je izgledao nevjerojatno uvjerljivo. "Primio sam e-poštu koja je izgledala kao da dolazi od Googlea, s navodnim sudskim pozivom za moj račun", napisao je. E-pošta je sadržavala linkove koji su vodili na lažne stranice, vjerno kopirajući dizajn Googleovih službenih stranica. "Jedini trag da je riječ o prijevari bilo je to što je stranica hostana na sites.google.com umjesto na accounts.google.com", dodao je.

Klikom na link, Johnson je dospio na "vrlo uvjerljivu" stranicu koja je izgledala kao Googleov službeni portal za podršku. Stranica je nudila opcije poput "Upload additional documents" i "View case", a oba linka vodila su na točne replike legitimnih Googleovih stranica. Te stranice tražile su od njega da unese svoje podatke za prijavu. "Pretpostavljam da bi hakeri potom iskoristili te podatke za kompromitaciju računa, ali nisam otišao dalje", objasnio je Johnson. Ono što je posebno zabrinjavajuće jest činjenica da je lažna e-pošta prošla DKIM provjeru, sigurnosni mehanizam koji potvrđuje autentičnost poruke, te da ju je Gmail prikazao bez ikakvog upozorenja. "Čak je bila svrstana u istu konverzaciju s drugim legitimnim sigurnosnim obavijestima", dodao je.

Google je brzo reagirao na otkriće. U izjavi za Daily Mail, glasnogovornik tvrtke potvrdio je da su svjesni ove ciljane prijetnje i da su implementirali zaštite kako bi spriječili daljnju zloupotrebu. "Isključili smo mehanizam koji je omogućio ovaj napad i podijelili smo smjernice za prepoznavanje i izbjegavanje ovakvih prijevara", poručili su iz Googlea. Tvrtka je posebno naglasila važnost korištenja dvofaktorske autentifikacije (2FA) i sigurnosnih ključeva, koji pružaju dodatni sloj zaštite od phishing napada. "Google nikada neće tražiti vaše podatke za prijavu, uključujući lozinke ili jednokratne kodove, niti će vas zvati s takvim zahtjevima", upozorili su.

Phishing napadi, poput ovog na Gmail, dizajnirani su kako bi prevarili korisnike da podijele osjetljive podatke, poput lozinki ili bankovnih informacija, koji se potom mogu iskoristiti za krađu identiteta ili financijska sredstva. Hakeri su u ovom slučaju iskoristili Google Sites kako bi stvorili uvjerljive lažne stranice, računajući na to da će korisnici vidjeti domenu google.com i povjerovati da je riječ o legitimnom izvoru. "Znali su da će ljudi pretpostaviti da je stranica sigurna jer je povezana s Googleom", objasnio je Johnson.

Kako bi se zaštitili, korisnici bi trebali biti izuzetno oprezni. Google savjetuje da nikada ne dijelite svoje prijavne podatke putem e-pošte ili sumnjivih linkova. Ako koristite običnu lozinku za Gmail, a ona dospije u ruke hakera, ništa ih ne sprječava da preuzmu vaš račun. S druge strane, korištenje sigurnosnog ključa značajno otežava takve napade. Sigurnosni ključ generira visokosigurni kod koji funkcionira samo na fizičkom uređaju korisnika, što znači da hakeri ne mogu pristupiti računu čak i ako imaju vašu lozinku.

Osim toga, korisnici bi trebali naučiti prepoznavati znakove phishing napada. Takve poruke često koriste generičke pozdrave, stvaraju osjećaj hitnosti i pozivaju na klikanje na linkove. Na primjer, poruka može tvrditi da je vaš račun ugrožen i da morate odmah djelovati. Google naglašava da legitimne obavijesti, poput onih o sudskim pozivima, uvijek stižu izravno na vaš račun, a ne putem neprovjerenih linkova. Prema Googleovim pravilima, ako vladina agencija zatraži podatke, korisnik će biti obaviješten e-poštom prije nego što se podaci proslijede, osim ako to nije zakonski zabranjeno.

Iako ovakve prijevare postaju sve teže za prepoznavanje, Google upozorava: "Budite oprezni svaki put kada primite poruku koja traži osobne podatke. Ako je moguće, otvorite stranicu u novom prozoru umjesto da kliknete na link u e-pošti. Google nikada ne šalje nepozvane poruke s zahtjevima za lozinke ili druge osjetljive podatke." Korisnici se također potiču da provjere URL adrese i budu skeptični prema bilo kakvim porukama koje izazivaju paniku ili traže hitnu akciju.