Vulnerabilità Gmail: Google si autoassolve

È tornata ultimamente alla ribalta la vulnerabilità insita in Gmail scoperta nel settembre del 2007, attraverso la quale risultava possibile trasformare il sistema di filtraggio delle email di una vittima inconsapevole in uno strumento atto a reindirizzare i messaggi di posta verso un altro account. Secondo lo sviluppatore Brandon Partridge, la falla risulta a tutt’oggi presente e avrebbe portato alcuni utenti a perdere i loro domini registrati attraverso GoDaddy.com. Chiamato in causa, il team di Google nega ogni connessione con il furto di domini avvenuto di recente e nel dicembre del 2007. Si è trattato semplicemente di un normale attacco di phishing.

«Molte nuove voci si riferiscono a un furto di domini avvenuto nel dicembre del 2007 che è stato erroneamente collegato alla vulnerabilità CSRF di Gmail», scrive Chris Evans, information security engineer, all’interno del suo blog. «Abbiamo un resoconto del bug CSRF di Gmail targato settembre 2007 che abbiamo corretto in tutto il mondo entro 24 ore da quando se ne sono diramati i dettagli. Né questo bug, né altri presenti in Gmail sono coinvolti nel furto di domini del dicembre 2007».

La causa sarebbe così da reputare ad un attacco pianificato di phishing, ove i cybercriminali hanno diffuso email al cui interno erano presenti link a siti Web fraudolenti, furbescamente camuffati da pagine appartenenti al gruppo Google; naturalmente, si trattava solamente di un trucco per sottrarre le password e gli username dei malcapitati. «Questi siti fasulli non sono affiliati in alcun modo con Google», ribadisce con insistenza Evans all’interno del suo post; inoltre, molti di essi risultano attualmente offline. Una volta ottenute le informazioni volute, i cybercriminali erano liberi di modificare gli account come più desiderato; nei casi citati, venivano utilizzati filtri opportunamente progettati per spedire messaggi provenienti da altri provider.

Come precauzione generale, è comunque sempre bene inserire le proprie credenziali all’interno di Gmail solamente in presenza di un indirizzo che inizia con “https://www.google.com/accounts” ed evitare di cliccare su misteriosi avvisi che possono riguardare i certificati.