Um novo golpe de phishing vem chamando atenção por explorar diretamente os serviços do Google para burlar sistemas de segurança e enganar usuários. Utilizando o Google Sites, os criminosos criam mensagens falsas que simulam alertas de intimação policial, enviadas a partir do endereço legítimo “no-reply@google.com”.
O e-mail fraudulento alega que autoridades estão requisitando informações da conta Google da vítima, criando um forte senso de urgência para induzir o clique em um link falso e o fornecimento de credenciais.
Como o golpe consegue passar despercebido
O ataque explora uma brecha no sistema de autenticação DKIM — normalmente utilizado para verificar a autenticidade de e-mails. Como a mensagem é enviada por meio da própria plataforma do Google, os filtros de segurança acabam tratando o e-mail como confiável.
Para aumentar a eficácia, os golpistas configuram o nome do aplicativo falso de forma que ele apareça diretamente no corpo do e-mail. O link direciona a vítima para uma página hospedada no sites.google.com, cuidadosamente projetada para imitar uma página oficial de suporte do Google, o que dificulta a identificação do golpe até mesmo por usuários mais experientes.
Um problema já observado em outras plataformas
Esse tipo de ataque não é inédito. Situações semelhantes já afetaram usuários do PayPal, incluindo o desenvolvedor Nick Johnson (Ethereum Name Service), que relatou abusos envolvendo as permissões OAuth do Google.
Inicialmente, o Google afirmou que o comportamento do sistema estava “funcionando conforme o esperado”. No entanto, diante da repercussão, a empresa reconheceu a gravidade do problema e informou que está trabalhando em soluções para mitigar essas ameaças.
Como medida de proteção, a empresa recomendou o uso de autenticação em dois fatores e a adoção de chaves de acesso, reforçando a importância de práticas de segurança digital para todos os usuários.
