Recent, Google a confruntat o problemă semnificativă de securitate legată de conturile Workspace, în timp ce lumea încă resimte impactul defecțiunii CrowdStrike cauzate de o actualizare defectuoasă.
Google Workspace permite afacerilor să creeze adrese de email profesionale folosind domeniul companiei, cum ar fi alex@companydomain.com, și să acceseze servicii precum Google Drive, calendarele Gmail, Google Meet și altele.
Google a descoperit recent că hackerii au reușit să ocolească sistemul de verificare a emailului necesar pentru crearea unui cont Google Workspace. De exemplu, pentru a crea un cont Google Workspace pentru alex@microsoft.com, este necesară verificarea că adresa de email aparține utilizatorului. Însă hackerii au reușit să evite această cerință de bază. Și mai grav, contul Google Workspace creat putea fi folosit la servicii terțe care permit autentificarea prin „Sign in with Google”.
Google a trimis următoarea declarație prin email utilizatorilor afectați:
„În ultimele săptămâni, am identificat o campanie de abuz la scară mică în care actorii rău intenționați au evitat pasul de verificare a emailului în fluxul nostru de creare a conturilor pentru conturile Google Workspace verificate prin email (EV) folosind o cerere special construită. Acești utilizatori EV ar putea apoi să fie folosiți pentru a accesa aplicații terțe folosind ‘Sign In with Google’.”
Google a informat KrebsOnSecurity că problema a început la sfârșitul lunii iunie, afectând „câteva mii” de conturi Workspace, și că au remediat problema în termen de 72 de ore de la descoperirea acesteia. Google a confirmat, de asemenea, că a adăugat mecanisme suplimentare de detectare pentru a proteja împotriva acestor tipuri de ocoliri ale autentificării.
Iată cum hackerii au ocolit verificarea emailului pentru conturile Google Workspace:
- Google oferă un cont de probă gratuit pentru Workspace care permite utilizatorilor să testeze servicii precum Google Docs.
- Totuși, pentru a crea un cont Workspace care are Gmail și servicii dependente de domeniu, este necesară verificarea emailului.
- Hackerii au creat o cerere specific construită pentru a ocoli verificarea emailului în timpul procesului de înscriere.
- Hackerii ar folosi o adresă de email pentru a încerca să se conecteze și o adresă de email complet diferită pentru a verifica un token.
- Odată ce erau verificați prin email, în unele cazuri, au fost văzuți accesând servicii terțe folosind autentificarea unică Google.
Comentariile unor utilizatori de conturi Google Workspace pe Hacker News și secțiunea de comentarii de la Krebs on Security spun o poveste ușor diferită. Se pare că problema de ocolire a verificării emailului a fost prezentă de mai mult de o lună.
Un utilizator a fost afectat de problemă pe 6 iunie, ceea ce nu este la sfârșitul lunii iunie, așa cum susține Google. Un comentator pe nume David Keaton afirmă că s-a confruntat cu o problemă similară încă din 2012 și din nou în iulie 2023. Un alt comentator susține că a raportat problema la Google pe 7 iunie; iată comentariile sale reale:
„Ceea ce spune Google nu este adevărat. Atacurile au început în jurul începutului lunii iunie. Scriu aici ca una dintre victimele din acea perioadă. Mai mult – am un număr de ticket de buganizer din 7 iunie cu constatările inițiale. A fost rezolvată cam o lună mai târziu.”
Lipsa de transparență a Google în ceea ce privește cronologia și amploarea completă a breșei de securitate în Workspace ridică îngrijorări. O dezvăluire publică clară și detaliată, inclusiv măsuri proactive luate pentru a preveni viitoarele breșe, ar fi o abordare mai responsabilă. De asemenea, recunoașterea problemei printr-o postare oficială pe blog ar demonstra un angajament față de transparență și încrederea utilizatorilor.
