Google wprowadza nowy mechanizm weryfikacji dodatków
W maju tego roku chwaliliśmy Google za szybką – liczoną dosłownie w godzinach – reakcję Google na atak phishingowy. Entuzjazm dla sprawności nieco opadł, gdy okazało się, że firma od 5 lat wiedziała o wykorzystanej dziurze. Luka została w końcu załatana, a Google na tym nie poprzestało i ogłosiło zmiany, które powinny uczynić podobne ataki trudniejszymi.
Przypomnijmy, że podczas majowego ataku cyberprzestępcy wykorzystali fałszywą aplikację, którą nazwali Google Docs. W ten sposób uwiarygodnili swoje działania i oszukali ofiary. Wkrótce po ataku Google udoskonaliło proces rejestracji deweloperów, dzięki czemu anonimowym twórcom oprogramowania trudniej jest podszyć się pod zaufane aplikacje. Teraz firma idzie o krok dalej i wprowadza system ostrzeżeń, który alarmuje użytkownika, gdy niezweryfikowana aplikacja domaga się dostępu do jego danych.
Wtyczki wciąż pozostają poważnym zagrożeniem dla wielu internetowych platform. Jak zauważa The Verge, grupa OurMine, która specjalizuje się w atakach przeprowadzanych za ich pomocą pokazała, że dzięki wtyczkom napastnik może podszyć się zarówno pod dyrektora wykonawczego Google'a Sundara Pichaia, dyrektora Twittera Jacka Dorseya, może też, w imieniu Sony Music, „oficjalnie” poinformować na Twitterze o śmierci Britney Spears. Przy wszystkich tego typu atakach eksperci z OurMine wykorzystali dziury w aplikacjach firm trzecich, którym dano dostęp do kont będących celem ataku. Najbardziej aktywni użytkownicy mediów społecznościowych dają dostęp do swych kont setkom wtyczek, a cyberprzestępcy zyskują w ten sposób nieograniczone możliwości zaatakowania takich kont.
Google postanowiło więc utrudnić życie napastnikom. Teraz, gdy użytkownik będzie chciał nadać jakiejś wtyczce uprawnienia dostępu do swojego konta, zostanie ostrzeżony, jeśli aplikacja nie została przez Google'a zweryfikowana. Ekran informujący o kontakcie z niezweryfikowaną aplikacją zastąpi dotychczasowy komunikat o błędzie. Ostrzeżenie wyświetli się użytkownikowi zanim ten będzie miał okazję, by wyrazić zgodę na przeprowadzenie działań, których aplikacja się domaga.
