ظهرت حملة تصيّد إلكتروني متقدمة تستغل إشعارات الأمان الرسمية من Google لخداع المستخدمين. المهاجمون ينشئون تطبيق OAuth على حساب Google مرتبط بعنوان مثل "me@monsite.com"، ويملؤون اسم التطبيق برسالة تصيّد كاملة. Google ترسل إشعارًا أمنيًا حقيقيًا بتوقيع سليم يتضمن الرسالة المزيفة، ثم يقوم المهاجم بتحويل هذا البريد إلى الضحية، فيبدو كأنه تنبيه رسمي.
الروابط داخل الرسالة تقود إلى صفحات تصيّد مستضافة على sites.google.com وتبدو مطابقة لمواقع دعم Google. في البداية، لم تعتبر Google الأمر خرقًا، لكنها لاحقًا وعدت بإصلاح الثغرة. ينصح المستخدمون بالتحقق من تفاصيل الرسائل، خصوصًا إذا كان الحقل "To:" لا يحتوي على عنوانهم الشخصي.
تعليقات: (0) إضافة تعليق