Les estafes de pesca no són noves, però una recent estafa descoberta per investigadors de Symantec ha cridat l'atenció de la indústria de la seguretat. Aquesta nova estafa adreçada als usuaris de Google Docs i Google Drive és especialment efectiva perquè utilitza els propis servidors de Google per allotjar el lloc web de phishing maliciós, cosa que dificulta als usuaris detectar que alguna cosa ha anat malament.
La majoria de les estafes de pesca no sofisticades poden recrear llocs web legítims, com ara un servei bancari o servei en línia, fins als detalls més exigents. Però aquestes estafes solen tenir un defecte, ja que no estan allotjades pel lloc o servei “real”, permetent als usuaris veure una adreça web fraudulenta al seu navegador o una manca de seguretat SSL. Però aquesta nova estafa descoberta per Symantec és allotjada sense voler per Google mateix, donant a les víctimes una adreça de Google habilitada per SSL als seus navegadors.
Com funciona: els estafadors van crear una carpeta dins d’un compte de Google Drive i la van marcar com a pública, permetent a qualsevol persona veure-la. A continuació, van penjar un fitxer a aquesta carpeta, formatats per semblar una pàgina d'inici de sessió de Google i van utilitzar la funció de visualització prèvia de Google Drive per obtenir un URL accessible per al públic.
Els estafadors poden distribuir aquest enllaç a través de qualsevol mètode, deixant que els usuaris creguin que es dirigeix a un fitxer de Google Docs i els usuaris que hi facin clic arribaran a una pàgina que sembla un registre de Google. Si bé l'URL no serà la correcta per iniciar la sessió a Google, mostrarà un domini i seguretat SSL de Google.com, cosa que pot ser suficient per enganyar la majoria de víctimes.
Els usuaris que introdueixen les seves credencials d’inici de sessió els registraran els estafadors mitjançant un script PHP i, potser el pitjor de tot, els usuaris que “inicien la sessió” se’ls transferirà a un fitxer real de Google Doc, fent que sigui probable que la majoria de les víctimes. ni tan sols s’adonarà que han estat estafats fins que és massa tard.
A causa de la gamma cada vegada més gran de serveis de Google, els estafadors amb credencials d’inici de sessió de Google d’un usuari tindran accés a correu electrònic, calendaris, documents i fins i tot pagar serveis com Google Music.
Malgrat la relativa sofisticació d’aquesta estafa, encara es pot protegir els usuaris si es presta molta atenció a la barra d’adreces d’un lloc abans d’introduir les seves credencials d’inici de sessió i en habilitar l’autenticació de dos factors, molt recomanable per a cada servei que l’ofereix.
