Podvod přes Google a Microsoft míří na souhlas místo hesla

Podvodníci rozesílají majitelům účtů Google a Microsoft zprávy s odkazem na pravou přihlašovací stránku. Cílem není získat heslo, ale vylákat souhlas s přístupem k účtu.

Zpráva se může vydávat za komunikaci organizátora konference nebo novináře. Nabízí dokument, sdílený soubor či jiný uvěřitelný obsah. Po kliknutí se zobrazí obvyklé přihlášení k účtu Google nebo Microsoft, které uživatel zná z jiných služeb.

Pravá přihlašovací stránka v tomto případě podvod nevylučuje. Heslo zůstává u poskytovatele účtu, ale útočník potřebuje následný souhlas s přístupem. Uživatel tak může projít legitimním přihlášením a přesto potvrdit požadavek od někoho jiného než od člověka uvedeného v původní zprávě.

Dostupné informace neupřesňují, jaká oprávnění žádost požaduje, k jakým datům by umožnila přístup ani zda se týká konkrétních aplikací. Není znám ani počet oslovených či napadených účtů, datum kampaně nebo její délka. Bez těchto údajů nelze posoudit rozsah ani dopad incidentu.

Při kontrole podobné zprávy nestačí posuzovat vzhled přihlašovací stránky a adresu služby. Stejnou pozornost vyžaduje žádost o souhlas, její původ a požadovaný přístup. U zpráv s dokumentem lze jiným komunikačním kanálem ověřit u údajného odesílatele, zda soubor skutečně poslal. Popsaný postup sám o sobě není důvodem ke změně používaných firemních služeb. Školení zaměřené jen na ochranu hesel a rozpoznávání falešných přihlašovacích stránek však takový útok nepokrývá.