Phishing omija filtry poczty łańcuchem przekierowań przez usługi Google

KnowBe4 opublikowała 4 września analizę trwającej kampanii phishingowej, w której link z wiadomości prowadzi przez trzy przekierowania w domenach Google. Łańcuch korzysta z Google Meet, infrastruktury reklamowej DoubleClick, Google Custom Search, Google Image Search, Google Tag Manager i Google Analytics. Na końcu ofiara trafia na fałszywą stronę, która wyłudza dane logowania albo instaluje narzędzie zdalnego dostępu ScreenConnect.

Sam schemat jest typowy: wiadomość pod fałszywym pretekstem, kliknięcie i złośliwa strona. Nowy jest link. Bramki pocztowe i skanery adresów widzą na każdym etapie zaufane domeny Google, więc przepuszczają wiadomość. Analitycy Prabhakaran Ravichandhiran i Jeewan Singh Jalal piszą, że domena nadawcy, link i pośrednie przekierowania wyglądają czysto, a strona wyłudzająca dane jest zbudowana tak, żeby przeczekać kontrolę.

Dla firmy oznacza to, że filtr poczty może nie zatrzymać takiej wiadomości. Adres zaczynający się od domeny Google nie jest dowodem, że prowadzi w bezpieczne miejsce.