Google a émis un avertissement urgent à ses 3 milliards d’utilisateurs de Gmail après avoir confirmé une arnaque de phishing « sophistiquée » ciblant des expéditeurs de courrier électronique sans méfiance – et les cybercriminels sont si sournois que même les techniciens chevronnés y tombent.

Le développeur Nick Johnson a tiré la sonnette d’alarme sur les réseaux sociaux , après avoir failli se faire avoir par une arnaque si astucieuse qu’elle utilisait l’infrastructure de Google pour paraître légitime.

« J’ai récemment été la cible d’une attaque de phishing extrêmement sophistiquée », a déclaré Johnson le 16 avril. 

« Il exploite une vulnérabilité dans l’infrastructure de Google, et étant donné leur refus de la corriger, nous sommes susceptibles de le voir beaucoup plus souvent. »

Le piège s’est présenté sous la forme d’un courrier électronique d’apparence officielle affirmant qu’il avait été frappé d’une assignation à comparaître liée à son compte Google. 

Cela provenait même de ce qui semblait être une véritable adresse Google.

« Le seul indice qu’il s’agit d’un hameçonnage est qu’il est hébergé sur sites.google.com au lieu de accounts.google.com », a noté Johnson dans le fil de discussion X.

En cliquant sur le lien, vous êtes redirigé vers un faux « portail d’assistance » contenant des copies exactes des véritables pages de connexion de Google, conçues pour inciter les utilisateurs à fournir leurs informations d’identification.

« À partir de là, ils récupèrent probablement vos identifiants de connexion et les utilisent pour compromettre votre compte », a averti Johnson. 

« Cela le place même dans la même conversation que d’autres alertes de sécurité légitimes. »

Pire encore, l’e-mail douteux a passé le contrôle DKIM (DomainKeys Identified Mail) de Google, ce qui signifie que Gmail l’a traité comme un simple message banal .

Dans une récente déclaration au Daily Mail, un porte-parole de Google a déclaré : « Nous sommes conscients de ce type d’attaque ciblée de la part de cet acteur malveillant et avons déployé des mesures de protection pour bloquer cette voie d’abus. En attendant, nous encourageons les utilisateurs à adopter l’authentification à deux facteurs et les clés d’accès, qui offrent une protection efficace contre ce type de campagnes de phishing. »

Google affirme avoir déjà bloqué la faille qui a permis l’arnaque et a publié de nouveaux conseils pour aider les utilisateurs à éviter des pièges de courrier électronique similaires.

« Google ne vous demandera aucun de vos identifiants de compte — y compris votre mot de passe, vos mots de passe à usage unique, vos notifications push de confirmation, etc. — et Google ne vous appellera pas », a souligné le porte-parole.

Les cybercriminels à l’origine de cette arnaque ont utilisé Google Sites pour donner à leur stratagème un air de crédibilité, en s’appuyant sur le fait que la plupart des gens ne remettront pas en question une URL qui leur semble familière.

« Ces escroqueries sont conçues pour paraître aussi réelles que possible », a déclaré Johnson, avertissant que de nombreux utilisateurs ne remarqueront pas la légère modification du nom de domaine, ce qui pourrait signifier de gros maux de tête pour leurs comptes bancaires ou leur identité.

Les utilisateurs de Gmail qui s’appuient uniquement sur des mots de passe sont particulièrement vulnérables.

Si un pirate informatique récupère vos informations de connexion et que vous n’utilisez pas l’authentification à deux facteurs (2FA) ou les mots de passe, il peut accéder directement à votre compte.

Une clé d’accès, en revanche, est une méthode de connexion liée au matériel que les pirates ne peuvent pas simplement utiliser, ce qui en fait un pari beaucoup plus sûr.

Parallèlement, les tentatives d’hameçonnage deviennent de plus en plus difficiles à repérer. Les signaux d’alarme incluent des salutations vagues, un ton urgent et des liens cliquables exigeant une action immédiate, notamment concernant les données personnelles ou l’accès au compte.

Même si Google envoie des e-mails concernant des problèmes de compte, le géant de la technologie affirme que vous devez toujours réfléchir à deux fois avant de cliquer.

Selon la page Confidentialité et Conditions d’utilisation de Google , « Lorsque nous recevons une demande d’une agence gouvernementale, nous envoyons un courriel au compte utilisateur avant de divulguer des informations. Si le compte est géré par une organisation, nous en informerons l’administrateur du compte. »

Et si vous pensez avoir compris, Google ajoute : « Nous ne vous enverrons pas de notification si la loi l’interdit, conformément aux termes de la demande. Nous vous enverrons une notification après la levée de l’interdiction légale, par exemple à l’expiration d’une période de confidentialité légale ou ordonnée par un tribunal. »

En résumé : si vous recevez un e-mail douteux vous demandant des informations personnelles, ne cliquez pas. 

Ouvrez plutôt le site dans une fenêtre de navigateur distincte et vérifiez la source.

Voir l’article original cliquez ci-dessous ;

---

---