מחקר דרמטי של מעבדות Pentera Labs, חושף כשל ארכיטקטוני חמור בשילוב שבין Gmail ל-Google Drive.
הפרצה מאפשרת לתוקפים להחדיר קבצים זדוניים (Malware) ולקבל עבורם את "חותמת האישור" הרשמית של גוגל, מה שהופך אותם לאמינים לחלוטין בעיני המשתמש הממוצע.
ה"גביע הקדוש" של התקפות הפישינג
לפי בן אילקשי, חוקר אבטחה ב-Pentera, הפרצה מנצלת חוסר התאמה (Architectural Misalignment) במנגנוני האבטחה המאוחדים של גוגל. התוקף יכול לגרום למערכת להציג קובץ זדוני ככזה ש"נסרק על ידי Gmail" (Scanned by Gmail) ונמצא בטוח לחלוטין, למרות שהוא מכיל קוד עוין.
מדובר במצב שבו התוקף משיג את מה שמכונה "הגביע הקדוש" של הפישינג, אמינות מוחלטת. כשהמשתמש רואה שהקובץ עבר את הבדיקות של גוגל, הוא לא מהסס לפתוח אותו, ובכך הוא מאפשר לתוקף להשיג גישה למחשב או לרשת הארגונית.
איך זה עובד? ניצול האמון בין השירותים
הבעיה טמונה בדרך שבה Gmail ו-Google Drive מתקשרים ביניהם בעת העברת קבצים. התוקפים מצאו דרך להעלות קובץ ל-Drive ולשלוח אותו דרך Gmail בצורה כזו שהמערכת "מדלגת" על שכבות סינון מסוימות או מציגה מצג שווא של סריקה שהושלמה בהצלחה.
נקודות המפתח במחקר:
- עקיפת חסימות: קבצים ש-Gmail חוסם בדרך כלל (כמו סוגי קבצים מסוימים או קוד חשוד) מצליחים לעבור תחת מסווה של קבצי Drive.
- ניצול המיתוג: המשתמש מקבל ביטחון שגוי בגלל הלוגו והכיתוב הרשמי של גוגל המעידים על בטיחות הקובץ.
- היקף פגיעה: הפרצה רלוונטית לכמעט כל אחד מ-3 מיליארד משתמשי Gmail ברחבי העולם.
תגובת גוגל והמלצות למשתמשים
המחקר פורסם לאחר תקופת חשיפה אחראית של 90 יום, במהלכה עודכנה גוגל בפרטי הפרצה. גוגל כבר החלה להטמיע תיקונים במנגנון הסינכרון כדי למנוע את הניצול של חותמת ה-AI והסריקה.
איך להתגונן?
אל תסמכו רק על ה"חותמת": גם אם קובץ נראה כאילו נסרק, היו זהירים במיוחד עם קבצים שהגיעו משולחים לא מוכרים.
- אימות כפול: אם קיבלתם קובץ Drive חשוד, אשרו את שליחתו מול השולח בערוץ תקשורת נפרד.
- עדכוני מערכת: ודאו שדפדפן הכרום והאפליקציות של גוגל מעודכנים לגרסה האחרונה ביותר.
