Lừa đảo trực tuyến không có gì mới, nhưng một vụ lừa đảo gần đây được phát hiện bởi các nhà nghiên cứu tại Symantec đã thu hút sự chú ý của ngành công nghiệp bảo mật. Trò lừa đảo mới này nhắm mục tiêu người dùng Google Docs và Google Drive đặc biệt hiệu quả vì nó sử dụng máy chủ của chính Google để lưu trữ trang web lừa đảo độc hại, khiến người dùng khó phát hiện ra rằng có gì đó không ổn.
Hầu hết các trò lừa đảo tinh vi có thể tạo lại các trang web hợp pháp, chẳng hạn như ngân hàng hoặc dịch vụ trực tuyến, đến chi tiết chính xác. Nhưng những trò gian lận này thường có một lỗ hổng, trong đó chúng không được lưu trữ bởi trang web hoặc dịch vụ của Real real, cho phép người dùng thấy địa chỉ Web lừa đảo trong trình duyệt của họ hoặc thiếu bảo mật SSL. Nhưng trò lừa đảo mới này do Symantec phát hiện được chính Google vô tình lưu trữ, cung cấp cho nạn nhân một địa chỉ Google hỗ trợ SSL trong trình duyệt của họ.
Đây là cách nó hoạt động: những kẻ lừa đảo đã tạo một thư mục bên trong tài khoản Google Drive và đánh dấu nó là công khai, cho phép mọi người nhìn thấy nó. Sau đó, họ tải tệp lên thư mục đó, được định dạng giống như trang đăng nhập Google và sử dụng tính năng Xem trước của Google Drive để lấy URL có thể truy cập công khai cho tệp.
Những kẻ lừa đảo sau đó có thể phân phối liên kết này thông qua bất kỳ phương thức nào, lừa người dùng tin rằng nó dẫn đến tệp Google Docs và người dùng nhấp vào liên kết sẽ truy cập vào một trang trông giống như đăng nhập Google. Mặc dù URL sẽ không phải là URL chính xác để đăng nhập vào Google, nhưng nó sẽ hiển thị tên miền Google.com và bảo mật SSL, có thể đủ để lừa hầu hết nạn nhân.
Người dùng nhập thông tin đăng nhập của họ sẽ bị những kẻ lừa đảo ghi lại thông qua tập lệnh PHP và, có lẽ tệ nhất trong tất cả, những người dùng Đăng nhập Đăng nhập sau đó sẽ được chuyển sang tệp Google Doc thực sự, có khả năng là hầu hết nạn nhân thậm chí sẽ không nhận ra họ đã bị lừa đảo cho đến khi quá muộn.
Do phạm vi dịch vụ ngày càng tăng của Google, những kẻ lừa đảo có thông tin đăng nhập Google của người dùng sẽ có quyền truy cập vào email, lịch, tài liệu và thậm chí các dịch vụ thanh toán như Google Music.
Bất chấp sự tinh vi tương đối của trò lừa đảo này, người dùng vẫn có thể được bảo vệ bằng cách chú ý đến thanh địa chỉ của trang web trước khi nhập thông tin đăng nhập của họ và bằng cách bật xác thực hai yếu tố, được khuyến nghị mạnh mẽ cho mọi dịch vụ cung cấp.
