מיליוני משתמשי גוגל מקבלים השבוע אזהרה מחוקרי אבטחה של צ'ק פוינט, אשר זיהו שיטת התקפה חדשה המשתמשת בשילוב של יומן Google, שרטוטים, טפסים וג'ימייל בניסיון לדוג משתמשים ולעקוף את מדיניות אבטחת הדוא"ל.
כפי שדווח על ידי פורבס, התקפות בשיטה זו הופעלו בערך 2,300 פעמים במהלך תקופה של שבועיים. גורמי האיום שמאחוריהם החלו בשינוי כותרות השולח כדי לגרום לאימיילים להיראות שהם נשלחו דרך יומן Google מאדם ידוע ולגיטימי. בתחילה, שיטה זו שימשה כדי לנצל את התכונות בתוך יומן Google כדי לקשר ל-Google Forms זדוני, ולאחר מכן התפתחה כדי להתאים ליכולות של Google Drawings לאחר שהתברר שמוצרי אבטחה מסוגלים לסמן את ההזמנות הזדוניות הללו ליומן.
בטופס או בציור הזדוני, מוצג קישור נוסף, לעתים קרובות כפתור reCAPTCHA מזויף או תמיכה, אבל כך או כך, המטרה הסופית היא תמיד הונאת תשלום. לפחות 300 מותגים עד כה התחזו על ידי האקרים באופן זה בניסיונות לדוג קורבנות.
Stu Sjouwerman, מנכ"ל ומייסד מומחי ניהול סיכונים אנושיים KnowBe4, הזהיר מפני קמפיין תקיפה מתמשך המכוון למשתמשי גוגל באמצעות הזמנות יומן, ואמר: "התוקפים צריכים רק את כתובת הג'ימייל שלך כדי לשלוח לך הזמנה והאירוע ימוקם ב- לוח שנה כברירת מחדל."
בדו"ח שכתב Sjouwerman עוד ב-2019, הוא מפרט את סוגי התקפות אלה; למרבה המזל, להפחית אותם הוא פשוט מספיק.
איך להישאר בטוח
כל שעליך לעשות הוא לגשת לתפריט ההגדרות ביומן Google ולהחליף את האפשרות להוסיף הזמנות באופן אוטומטי ל"הצג רק הזמנות להן הגבתי". לאחר מכן, עבור אל אפשרות האירועים בהגדרות של Gmail ובטל את הסימון "הוסף אוטומטית אירועים מ-Gmail ליומן שלי" – עם זאת, שימו לב שזה גם ישבית אירועים לגיטימיים.
גוגל ממליצה לבעלי מנוי ל-Google Workspace להשתמש באימות דוא"ל עבור לוחות זמנים של פגישות כדי למנוע פגישות לא רצויות. כך תוכלו לבקש מהאורחים לאמת את כתובת האימייל שלהם לפני שהם קובעים פגישה ביומן Google. גוגל גם ממליצה למשתמשים להפעיל את הגדרת השולחים הידועים בתוך יומן Google, מה שעוזר להתגונן מפני סוג זה של התקפת דיוג על ידי התראה למשתמש כאשר הוא מקבל הזמנה ממישהו שאינו ברשימת אנשי הקשר שלו או ממישהו שלא קיים איתו אינטראקציה מהאימייל שלו כתובת בעבר.
בנוסף, כאשר אתה מגן על עצמך מפני התקפות דיוג נפוצות עדיין חלות שיטות עבודה מומלצות: הדרך הקלה ביותר לשמור על בטיחות מפני דיוג היא להימנע מלחיצה על כל אימייל או הודעה משולח לא ידוע. כמו כן, ודא שאתה מכיר את המדיניות של החברה שלך ובדוק שוב את כתובת הדוא"ל של השולח: האם זהו מקור או אדם ידועים רגילים?
אתה גם רוצה לוודא שאתה משתמש באחת מאפשרויות תוכנת האנטי וירוס הטובות ביותר ושהיא נשמרת עדכנית ומעודכנת. באופן דומה, כשאתה בוחר אנטי וירוס, אתה יכול לראות אם אתה יכול לקבל חבילת אבטחה הכוללת גישה לאחד ה-VPNs הטובים ביותר עם הגנת פרטיות ברמת הדפדפן כלולה. בדוק שגם המכשירים הניידים שלך מוגנים מפני תוכנות זדוניות ואיומים. יש לנו המלצות לאפליקציות האנטי-וירוס הטובות ביותר לאנדרואיד, אבל בגלל ההגבלות של אפל אין מקבילה למכשירי האייפון הטובים ביותר.
ניצול לרעה של שירותי גוגל כדי לספק תוכנות זדוניות ולהשיק התקפות על משתמשים תמימים אינו דבר חדש. עם זאת, אם אינך מודע לטקטיקות אלו, אתה או מישהו אחר שאתה מכיר עלולים ליפול עליהם בקלות. זו הסיבה שחשוב להישאר מעודכן בכל שיטות ההתקפה העדכניות ביותר שבהן משתמשים האקרים גם אם אתה מחשיב את עצמך כבעל ידע באבטחה ומתרגל היגיינת סייבר טובה.
