Google corrige bug de criação de contas do Workspace sem verificação

Usuários com contas de email da Google estavam vulneráveis a um ataque que usava endereços de email legítimos para criar "contas potencialmente maliciosas" dentro do Google Workspace. Casos de exploração dessa falha foram encontrados ao longo de junho deste ano por usuários que foram notificados.

De acordo com o KrebsOnSecurity, o esquema envolvia o uso de um email para fazer o cadastro e um endereço diferente para validar o token da empresa. Em alguns casos, foi possível burlar os mecanismos de segurança da empresa e conseguir acessar serviços de terceiros por esse esquema.

• Leia também: Google fará 'faxina' em aplicativos de baixa qualidade no Android

Os suspeitos de explorar a falha associavam a conta com um perfil do Workspace para logar em serviços de fora da Google, que são potencialmente menos seguros. Os acessos não autorizados incluíram tentativas de login na plataforma de armazenamento na nuvem Dropbox, mas a empresa detectou a atividade fora do comum e barrou a entrada.

Google já corrigiu falha

"Nas últimas semanas, identificamos uma campanha abusiva de baixa escala em que atores mal intencionados burlavam a etapa de verificação de email em nosso fluxo de criação para contas Google Workspace com email verificado (VEs) usando um pedido especialmente construído. Esses usuários poderiam ser usados para ganhar acesso a aplicativos de terceiros usando o 'Fazer login com o Google'", diz o comunicado.

Ação cibercriminosa tinha como objetivo logar com contas fraudulentas em outros serviços.

Segundo a companhia, a falha foi corrigida cerca de 72 horas após a descoberta. Além disso, uma camada adicional de segurança foi adicionada para impedir que algo parecido volte a ser explorado.

Por outro lado, há denúncias de usuários e especialistas de cibersegurança de que a vulnerabilidade existe ao menos desde junho deste ano e chegou a afetar "alguns milhares" de perfis.