Napad je prvi zaznal Nick Johnson, razvijalec, ki dela za kriptoplatformo Ethereum. »Nedavno sem bil tarča izjemno dovršenega phishing napada,« je zapisal na omrežju X. »Napad izkorišča ranljivost v Googleovi infrastrukturi. Ker Google težave noče odpraviti, se bodo takšni napadi verjetno le še množili.«
Zavajajoč e-mail – videti je kot Google, a ni
Johnson je prejel lažno sporočilo, ki je bilo videti, kot da prihaja z uradnega Googlovega naslova, v njem pa so pošiljatelji zaradi domnevnega pravnega zapleta zahtevali dostop do njegovih podatkov.
Edini očitni znak, da gre za prevaro, je bila spletna povezava: sites.google.com namesto na uradnega accounts.google.com, kar je majhna, a pomembna razlika.
Ob kliku na povezavo se je odprla zelo prepričljiva lažna stran za podporo uporabnikom, ki je posnemala uradno stran Googla. Klik na možnosti »Naloži dodatne dokumente« in »Ogled primera« je uporabnika preusmeril na skoraj identični kopiji pravih Google strani.
I've submitted a bug report to Google about this; unfortunately they closed it as 'Working as Intended' and explained that they don't consider it a security bug. Obviously I disagree - but until they change their mind, be on the lookout for deceptive security alerts from Google. pic.twitter.com/AoyZOVssPs
— nick.eth (@nicksdjohnson) April 16, 2025
Zbiranje prijavnih podatkov
Na lažni strani so ga pozvali, naj se prijavi v svoj Google račun. Johnson je tam postopek ustavil, a opozarja, da so od tega trenutka naprej napadalci najverjetneje zbirali prijavne podatke, vključno z gesli in morebitnimi potrditvenimi kodami.
»Gmail pa je sporočilo prikazal brez kakršnegakoli opozorila – celo v istem pogovornem nizu kot legitimna varnostna obvestila,« je dodal.
Google: Napad smo zaznali, uporabnike pozivamo k previdnosti
Z Googla so v izjavi za DailyMail.com potrdili, da so seznanjeni s to vrsto napadov. »Izvedli smo zaščitne ukrepe, s katerimi smo preprečili tovrstne zlorabe. Uporabnikom svetujemo, naj aktivirajo dvostopenjsko avtentifikacijo (2FA) in uporabljajo passkeye, saj ti nudijo močno zaščito pred phishingom,« je sporočil tiskovni predstavnik podjetja.
Podjetje je medtem tudi odstranilo mehanizem, ki je napad omogočal, ter objavilo smernice za prepoznavanje in preprečevanje e-poštnih prevar.
Google vas nikoli ne bo prosil za geslo
»Google vas nikoli ne bo prosil, da posredujete geslo, enkratno kodo, potrditve s potisnimi obvestili ali druge podatke za dostop,« poudarjajo.
Phishing napadi so zasnovani tako, da so videti legitimno, zato uporabniki pogosto nasedejo – še posebej, če napadalci uporabijo znano domeno, kot je google.com.
Nasvet za uporabnike
Če prejmete sumljivo sporočilo:
- ne klikajte povezav v njem,
- ne vnašajte gesel ali osebnih podatkov,
- raje odprite uradno spletno stran v novem zavihku,
- vključite 2FA in passkey, če še niste.
Previdnost je najboljša zaščita, še pravijo pri Googlu.
