Уязвимость в службах Google открыла путь для рассылки писем от лица компании

Уязвимость в службах Google открыла путь для рассылки писем от лица компании

Хакер из Армении обнаружил в Google Apps серьезную ошибку безопасности, эксплуатация которой позволяла извлекать электронные адреса пользователей и отсылать им чрезвычайно правдоподобные уведомления от имени административной группы.



Для демонстрации специалист создал особую страницу в сервисе Blogspot. Любому авторизованному владельцу учетной записи Google достаточно было лишь посетить эту страницу - на его адрес в Gmail незамедлительно поступало письмо, практически неотличимое по своим техническим параметрам от легитимных сообщений компании.


Ведущий технологический консультант Sophos Грэм Клалей, комментируя инцидент в корпоративном блоге, отметил, что поддельные письма, отправленные посредством эксплуатации этой уязвимости, отличаются от обычных фишинговых отправлений: в них не просто указан аутентичный адрес отправителя (noreply@google.com), но и имеются вполне легитимные заголовки. Даже если пользователь усомнится и решит проверить параметры сообщения, то он обнаружит, что письмо отправлено с сервера maestro.bounces.google.com, и у него имеется подпись google.com - иными словами, уведомление будет выглядеть весьма убедительно.


Технические особенности выявленного изъяна и прочую подробную информацию хакер публиковать не стал. В письме редакции Интернет-ресурса TechCrunch он заявил, что не хочет предавать такие сведения огласке. По его словам, он пытался сообщить о проблеме непосредственно в Google, но компания никак не отреагировала на его обращение; это несколько странно, поскольку поисковый гигант некоторое время назад объявил о готовности выплачивать вознаграждения за поиск уязвимостей в своих онлайн-сервисах.


Впрочем, теперь Google подтвердила наличие ошибки безопасности в интерфейсе Google Apps Script API и заявила, что в настоящее время она уже устранена.


"Уязвимость в Google Apps Script API, позволявшая автоматически отсылать письма авторизованным пользователям Gmail без их на то разрешения, в случае, если они посещали определенным образом сформированную веб-страницу, была оперативно исправлена", - говорится в официальном заявлении компании. - "Сайт, демонстрировавший данную уязвимость, был нами немедленно удален, а спустя непродолжительное время мы отключили и сам опасный функционал. В случае обнаружения новых потенциальных проблем безопасности просим сообщать об этом на почтовый адрес security@google.com".


Softpedia

Роскомнадзор аннулировал почти 2 тыс. лицензий операторов связи

Роскомнадзор устроил чистку на телеком-рынке: регулятор аннулировал 1967 лицензий операторов связи. Формальная причина — нарушение требований к отчётности. Речь идёт о случаях, когда операторы либо вообще не сдавали обязательные сведения о своей работе, либо передавали неполные или недостоверные данные.

Такие основания действительно предусмотрены законом «О связи». Больше всего аннулированных лицензий, по приведённым данным, пришлось на Москву и Подмосковье.

Дальше идут Санкт-Петербург и Ленинградская область, Краснодарский край, Иркутская и Свердловская области.

Среди компаний, которые сильнее других попали под раздачу, называются «Бридж Телеком», «Озон Телеком», «Информационный центр», «Аффло», «Инфоспектр», «Экосистем», «Ладья», «Медиа-Групп “Регион”» и «Ресурстранзит» — у каждой аннулировали по семь лицензий. Чуть ниже в этом списке — ТЛК и «Синтез Телеком».

И всё это происходит на фоне обсуждения куда более жёсткой реформы. По данным «Известий», Минцифры и участники рынка уже обсуждают новые правила выдачи лицензий на услуги связи.

Среди идей — разделение лицензий на три типа, рост стоимости входа на рынок до 1-50 млн рублей в зависимости от категории, отказ в выдаче лицензий индивидуальным предпринимателям, а также более суровые санкции за повторные грубые нарушения.

Если эти предложения дойдут до реализации, телеком-рынок может стать более агрессивным для небольших и региональных игроков, а нынешнее аннулирование лицензий вполне может оказаться не разовой историей, а частью более широкой тенденции: рынок связи в России постепенно делают более жёстко регулируемым и более дорогим для входа.

RSS: Новости на портале Anti-Malware.ru