Une erreur dans Gmail a permis à des cybercriminels d’escroquer des utilisateurs

Des cybercriminels profitent d'un bug de Gmail pour utiliser le badge de vérification bleu et se faire passer pour de vraies entreprises afin d'escroquer les utilisateurs en profitant de la confiance qu'offre ce badge.

Google a mis en place ces badges bleus en mai pour indiquer que la marque de l'expéditeur d'un courriel sur son service Gmail est légitime et qu'il ne s'agit pas d'une usurpation d'identité visant à diffuser du spam ou à escroquer les utilisateurs.

Pour identifier les expéditeurs légitimes, Gmail utilise son système d'identification de la marque (BIMI). Cette technologie permet non seulement de vérifier l'identité d'une organisation, mais aussi d'exiger une authentification forte, afin d'afficher le logo de la marque sous forme d'avatar dans le courrier.

Cependant, certains acteurs malveillants profitent d'une faille dans cette fonctionnalité de vérification et parviennent à utiliser le badge bleu pour se faire passer pour de vraies organisations et tromper les utilisateurs afin de les escroquer ou d'obtenir leurs données personnelles.

L'expert en cybersécurité Chris Plummer l'a souligné dans un message sur Twitter, dans lequel il présente un cas personnel de cette faille de Gmail. Comme il le montre, il s'agit d'un faux courriel de la société de livraison de colis UPS, qui comporte à la fois l'icône bleue de vérification et l'avatar du logo UPS.

Cependant, il est possible de reconnaître qu'il s'agit d'un faux expéditeur, car l'adresse électronique est suspecte et n'a aucun lien avec la société de transport. « L'expéditeur a trouvé un moyen de tromper le sceau d'approbation autorisé de Gmail« , explique le chercheur en cybersécurité.

Après avoir identifié ce bogue, Chris Plummer a transmis le problème à Google qui, à première vue, ne l'a pas identifié comme un bogue et l'a même décrit comme un « comportement attendu ».

Google a toutefois reconnu le problème par la suite, affirmant qu' »il ne semble pas s'agir d'une vulnérabilité SPF générique », et a indiqué qu'il allait « examiner de plus près ce qui se passe ». En ce sens, le géant de la technologie s'est excusé pour « la confusion » et a remercié pour l'effort de reconnaissance de cette vulnérabilité.

En attendant que Google trouve une solution à ce bogue, il est recommandé de vérifier l'adresse de l'expéditeur et de s'assurer qu'il s'agit d'une organisation légitime.