Há más notícias para os utilizadores do Gmail
Um ataque de phishing sofisticado operou durante anos no Gmail, deixando milhões de utilizadores expostos.
O Gmail volta a estar no centro da polémica e não pelas melhores razões. Apenas dias depois da Google confirmar que vai integrar uma nova atualização com Inteligência Artificial no seu serviço de e-mail, com implicações significativas para a privacidade dos utilizadores, surge agora uma revelação preocupante: um ataque de phishing altamente sofisticado esteve a operar silenciosamente durante anos.
A empresa de cibersegurança Infoblox descobriu uma técnica que utiliza registos DNS (MX records) para criar páginas falsas de login. Estas páginas conseguem imitar com alta precisão os portais de mais de 100 marcas conhecidas, incluindo Gmail, Outlook, Yahoo, DHL ou Maersk. O objetivo? Roubar credenciais de acesso aos utilizadores e comprometer as suas contas.
Este ataque, conhecido como “Morphing Meerkat”, aproveita-se de vulnerabilidades do sistema DNS over HTTPS (DoH) para escapar aos mecanismos tradicionais de segurança. As mensagens fraudulentas são distribuídas com recurso a domínios WordPress comprometidos, encurtadores de URL e até mesmo falhas em redes de publicidade legítimas, como a DoubleClick — que pertence à própria Google.
Google toma medidas no Gmail
Assim, uma das particularidades mais alarmantes deste esquema é que, após o roubo das credenciais, o user é redirecionado para o verdadeiro site da marca, levando-o a acreditar que introduziu mal a palavra-passe. Esta técnica aumenta consideravelmente o risco de as vítimas nem sequer se aperceberem de que foram alvo de um ataque.
Embora tenham sido relatados alguns casos isolados nos últimos anos, esta é a primeira vez que se reconhece a existência de uma campanha de phishing tão ampla e bem estruturada. O mais preocupante é que este esquema esteve a operar durante anos sem chamar a atenção das autoridades ou das grandes empresas tecnológicas.
Entretanto, a Google anunciou a implementação de encriptação de ponta-a-ponta (E2EE) para utilizadores empresariais do Gmail, uma funcionalidade promissora, mas ainda limitada. Por agora, apenas estará disponível para contas do Workspace e, mesmo assim, de forma faseada. Além disso, há alguns passos que podes seguir para minimizar a chance de caíres neste engodo.
- Ativa a autenticação de dois fatores (2FA) no Gmail;
- Sempre que possível, utiliza passkeys em vez de palavras-passe tradicionais;
- Evita clicar em links de remetentes desconhecidos, mesmo que pareçam legítimos;
- Verifica se o endereço do site corresponde exatamente ao original antes de introduzires os teus dados.
Já tinhas ouvido falar deste altamente sofisticado ataque phishing?
Também do teu Interesse:
About The Author
