گوگل‌اپ ابزاری برای حمله‌های فیشینگ

گوگل‌اپ ساخته‌شده برای صاحبان مشاغل دارای حفره امنیتی است که به هکرها اجازه می‌دهد تا ایمیل‌های فیشینگ ارسال کنند. بدین ترتیب هکرها می‌توانند با هر دامنه‌ای ایمیل‌های خود را ارسال کنند.

گوگل‌اپ برای صاحبان مشاغل، یک بسته نرم‌افزاری است که دارای ابزارهای حرفه‌ای مشاغل است. ازجمله ابزارهای موجود می‌توان به ایمیل، تقویم اشتراک‌گذاری، فضای ذخیره‌سازی آنلاین، تماس‌های تصویری، ابزارهای ویرایش متن و دیگر موارد لازم برای مشاغل نام برد.

به‌منظور استفاده از این قابلیت جدید گوگل، کاربران باید با ایمیل مخصوص شرکت خود وارد شوند که فرمت کلی آن به‌صورت admin@yourdomain.com است. برای استفاده از گوگل‌اپ مخصوص مشاغل، افراد به‌مانند ساختن حساب کاربری عادی اقدام کرده و یک دامنه شغلی برای خود انتخاب می‌کنند و می‌توانند به کنترل پنل دامنه خود دسترسی داشته باشند.

محققان امنیتی Patrik Fehrenbach و Behrouz Sadeghipour دریافتند که می‌توان یک دامنه‌ای که تابه‌حال استفاده‌نشده مانند menewco.com را انتخاب کرد و وارد حساب کاربری admin@mynewco.com شد. بدین ترتیب آن‌ها توانستند از هر دامنه‌ای که تابه‌حال توسط شرکتی ثبت‌نشده بود ایمیل ارسال کنند. آن‌ها توانستند دامنه‌هایی مانند ytimg.com و gstatic.com را ثبت کنند. این دامنه‌ها توسط گوگل استفاده می‌شوند و مربوط به YouTube هستند.

بدین ترتیب می‌توان ایمیل‌های فیشینگ را از طریق این دامنه‌ها به کاربران ارسال کرد. به‌طور مثال با فرستادن پیامی به‌حساب کاربری توییتر آن‌ها دسترسی داشت.

پس از اعلام آسیب‌پذیری به گوگل، این شرکت نام فرستنده را از admin به apps-noreply تغییر داد. گوگل می‌گوید این کار کافی است تا گیرنده بفهمد که این ایمیل از چه مبدائی ارسال‌شده است.