ההזמנה מגיעה ליומן גוגל כמו כל הזמנה אחרת. הודעה קולית שממתינה, בקשה להצעת מחיר, לפעמים זימון לבית משפט, והשולח הוא לרוב ארגון שכבר התכתבתם איתו. הקישור שבתוכה מפנה לכתובת של גוגל עצמה. כל מה שמערכת אבטחה בודקת כדי להחליט אם קישור מסוכן, מי רשם את הדומיין ומה המוניטין שלו, מחזיר כאן תשובה מרגיעה. לפי החברה שחקרה את הקמפיין, זה היה התכנון.

מה קרה

החוקרים של Material Security עוקבים מאז אמצע אוגוסט אחרי מערכת פישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים) שגונבת מפגשי התחברות חיים לחשבונות גוגל. לפי הסיכום שפרסמו ב-28 באוקטובר, בחודש אחד של פעולה נגד הקמפיין הם חסמו 68,676 הודעות שלו, ניתחו 2,112 כתובות זדוניות והסירו 897 דומיינים. ההודעות נשלחו מ-8,570 חשבונות שולח שנפרצו, ב-6,354 דומיינים שונים. המספרים מגיעים, לפי החברה, מלקוחות שהסכימו לשתף נתונים, ולכן ההיקף האמיתי כנראה גדול יותר.

מה שמעניין הוא מה קורה אחרי הלחיצה: התוקף לא בנה עמוד התחברות מזויף שמחכה לסיסמה. הוא מציב שרת שמתווך בין הקורבן לעמוד ההתחברות האמיתי של גוגל, בזמן אמת. אתם מקלידים סיסמה והיא עוברת לגוגל, גוגל שולחת בקשת אישור והיא מגיעה אליכם, אתם מאשרים, והשרת מעביר את האישור בחזרה. אותו דבר קורה עם קוד ב-SMS, עם קוד מאפליקציית אימות ועם המסך שמבקש להקיש על מספר תואם. כל אמצעי ההגנה עובדים ומחזירים תשובה נכונה, והתוקף מסתכל על המפגש מהצד. לטכניקה הזאת קוראים adversary-in-the-middle, והמסגרת שמשמשת כאן, Nyasher, מתועדת בפומבי מאז פברואר.

לפי Material, לפני עמוד הסיסמה עומדים מנגנון ההפניה של גוגל ואתגר Cloudflare Turnstile שבחלק מהגרסאות הוא הווידג'ט המקורי מהשרתים של Cloudflare. לעמוד הסיסמה עצמו אין בכלל קיום כאתר: ה-JavaScript בונה אותו בדפדפן אחרי שהמבקר עובר את האתגר, כך שלסורק אוטומטי אין מה להוריד. רוב הדומיינים נרשמו ימים ספורים לפני השימוש, ובמקרה אחד תעודת SSL הונפקה 46 דקות לפני הדומיין שהיא מכסה.

למה זה חשוב לכם

חשבון גוגל הוא הדלת לכל השאר: הדואר, הקבצים, הגיבוי של הטלפון, וגם קישורי איפוס הסיסמה של שירותים אחרים. מה שהקמפיין מראה הוא שאימות דו-שלבי בהודעה או באפליקציה לא עוצר תוקף שצופה בהתחברות בזמן אמת. ברגע שהוא מחזיק את ה-cookie של המפגש, החלפת הסיסמה לבדה לא מוציאה אותו.

Material אומרת שגל ההזמנות ליומן דעך, ושהתוקפים עברו להזמנות שיתוף של קבצים ומסמכים בגוגל. כלומר הפתיח התחלף. השיטה שמאחוריו לא.

מה עושים?

הפעילו passkey בחשבון גוגל, כלומר מפתח התחברות ששמור במכשיר שלכם במקום קוד שאפשר להקריא. זה האמצעי היחיד כאן שהמתקפה לא יודעת להעביר הלאה, כי הוא קשור לכתובת האתר שבה אתם נמצאים בפועל.

קיבלתם הזמנה ליומן או שיתוף מסמך שמבקש מכם להתחבר? אל תתחברו מהקישור. פתחו לשון חדשה, הקלידו את כתובת השירות בעצמכם, ותראו אם מחכה לכם שם משהו. ההזמנה יכולה להגיע בעותק מוסתר ומכתובת מוכרת, ולכן השולח הוא לא סימן.

הקלדתם סיסמה ואישרתם קוד בעמוד שהגעתם אליו מקישור? היכנסו ל-myaccount.google.com, החליפו סיסמה, ואז נתקו מהחשבון את כל המכשירים המחוברים. בלי השלב השני, סיסמה חדשה לא מוציאה את מי שכבר בפנים.

עברו גם על כללי ההעברה והסינון בתיבת הדואר. תוקף משאיר לרוב כלל ששולח עותק של ההודעות הלאה, וכלל כזה נשאר גם אחרי שהגישה נחסמה.

באחת הגרסאות של הקמפיין האתגר של Cloudflare שהמבקר פתר בדרך היה האתגר האמיתי. זאת בדיוק הסיבה שהעמוד שאחריו עבד.