Si vous recevez un e-mail de Google qui semble être une alerte de sécurité légitime, ne continuez pas. Les escrocs profitent des vulnérabilités dans les protocoles d’authentification de Google pour envoyer des messages de phishing qui semblent suffisamment convaincants pour voler les informations d’identification du compte des utilisateurs sans méfiance. Voici comment vous protéger.
Comment fonctionne cette nouvelle arnaque de phishing Google
Comme le rapporte Android Authority, un développeur nommé Nick Johnson a récemment été ciblé par un e-mail de phishing avec la ligne d’objet « Alert de sécurité ». Le message a été envoyé à partir de non-Reply (at) Accounts.google.com et signé par Accounts.google.com, ce qui donne l’impression qu’un e-mail légitime directement de Google. Cependant, le message a conduit à une fausse page d’assistance Google hébergée sur Sites.google.com, qui a ordonné aux visiteurs de « télécharger des documents supplémentaires » ou « afficher le cas ». Cela a finalement conduit à une fausse page de connexion qui demandait des informations d’identification de compte, où les escrocs collecteraient ensuite les informations d’identification de connexion de Google de la cible.
Il y a quelques vulnérabilités qui rendent cette arnaque possible, selon Johnson. Google permet aux utilisateurs d’héberger des sites sur un sous-domaine Google.com via des sites Google, ce qui rend le site Web légitime. Les attaquants ont enregistré un domaine et l’ont lié à un compte Google, puis ont créé une application Google OAuth avec l’e-mail de phishing comme nom d’application. Une fois qu’Oauth a eu accès au compte Google, il a été signé par Google et transmis aux victimes. Notez que bien que l’e-mail ait été signé par Accounts.google.com, il a été envoyé par la poste par un e-mail originaire de privateMail.com.
Ce n’est pas le premier schéma de phishing à provenir d’une adresse e-mail apparemment légitime, ce qui rend les utilisateurs plus difficiles à repérer en tant que faux. Plus tôt cette année, les escrocs ont exploité les paramètres PayPal pour envoyer des notifications d’achat frauduleuses auprès du service (at) paypal.com.
Que pensez-vous jusqu’à présent?
Comment identifier et éviter les escroqueries par e-mail de phishing
Les e-mails de phishing peuvent être plus difficiles à attraper lorsqu’ils proviennent d’une adresse e-mail réelle ou reconnaissable – du moins en surface – comme de fausses adresses avec des fautes d’orthographe sont le premier cadeau d’une arnaque. De manière générale, vous devriez réfléchir à deux fois avant de vous engager avec n’importe quel message qui a un ton d’urgence ou évoque une réponse émotionnelle même si elle semble réelle.
Si vous recevez un e-mail comme celui-ci d’une entreprise que vous connaissez et dont vous utilisez les services et Le message apparaît légitime, ne cliquez sur aucun lien et ne téléchargez aucune pièce jointe. Accédez directement au site Web de l’entreprise en tapant l’URL et consultez les comptes officiels de médias sociaux ou les canaux de service client pour toutes les alertes liées au message que vous avez reçu, surtout si l’e-mail a à voir avec la sécurité ou la récupération du compte ou vos informations personnelles.
