Tren baru dalam serangan phishing muncul pada Desember 2021, dengan pelaku ancaman menyalahgunakan fitur komentar Google Documents untuk mengirimkan email yang tampaknya dapat dipercaya.
Karena Google sendiri sedang “ditipu” untuk mengirimkan email ini, kemungkinan alat keamanan email menandai mereka sebagai berpotensi berisiko hampir nol.
Peretas menggunakan akun Google mereka untuk membuat Dokumen Google dan kemudian mengomentarinya untuk menyebutkan target dengan @.
Google kemudian mengirimkan email pemberitahuan ke kotak masuk target, memberi tahu mereka bahwa pengguna lain telah mengomentari dokumen dan menyebut mereka.
Sumber: Avanan
Komentar pada email dapat membawa tautan berbahaya yang menyebabkan malware menjatuhkan halaman web atau situs phishing, email pelaku ancaman juga tidak ditampilkan di notifikasi, dan penerima hanya melihat nama. Hal ini membuat peniruan menjadi sangat mudah, dan sekaligus meningkatkan peluang keberhasilan bagi para aktor.
Teknik yang sama bekerja pada komentar Google Slide juga, dan Avanan melaporkan telah melihat aktor memanfaatkannya di berbagai elemen layanan Google Workspace.
Penyerang tidak perlu membagikan dokumen dengan target mereka karena menyebutkan mereka sudah cukup untuk mengirim pemberitahuan berbahaya.
Menurut Avanan, pelaku ancaman di balik serangan ini tampaknya berpihak pada pengguna Outlook, tetapi target demografisnya tidak terbatas pada mereka.
Kampanye spear-phishing yang sedang berlangsung ini menggunakan lebih dari 100 akun Google dan telah mencapai 500 kotak masuk di 30 organisasi.
Satu-satunya cara untuk mengurangi risiko kampanye ini dan kampanye serupa adalah dengan:
- Konfirmasikan bahwa email pengirim cocok dengan rekan Anda (atau orang yang diklaim)
- Hindari mengklik tautan yang datang melalui email dan disematkan di komentar
- Terapkan tindakan keamanan tambahan yang menerapkan aturan berbagi file yang lebih ketat di Google Workspace
- Gunakan solusi keamanan internet dari vendor tepercaya yang memiliki fitur perlindungan URL phishing
Sumber : Bleeping Computer
