O Google confirmou que um grupo de hackers, conhecido como ShinyHunters, conseguiu acesso a um de seus bancos de dados. A invasão ocorreu em junho e expôs dados de clientes armazenados na plataforma de CRM da Salesforce usada pela empresa.

Agora, relatos indicam que esses mesmos dados, que incluem nomes de clientes e empresas, já estão sendo usados em uma nova onda de ataques de phishing direcionada a usuários do Gmail e do Google Cloud. Criminosos se passam por funcionários do Google para tentar acessar as contas.

A violação teria colocado em risco uma base de aproximadamente 2,5 bilhões de pessoas em todo o mundo, de acordo com a Forbes. A big tech afirma que senhas não foram vazadas e que “respondeu à atividade, realizou uma análise de impacto e iniciou as mitigações”.

O que roubaram e como são os ataques?

Segundo o Google, os dados roubados consistem em “informações comerciais básicas e majoritariamente públicas, como nomes de empresas e detalhes de contato”. Os hackers do grupo envolvido no vazamento, no entanto, são conhecidos por usar esse tipo de informação para executar ataques de engenharia social.

A principal tática, conforme relatos de vítimas no Reddit, envolve um contato por telefone. No golpe, uma pessoa se identifica como funcionária do suporte do Google e informa à vítima sobre uma suposta violação de segurança em sua conta, com nomes e informações de contato roubados para dar mais credibilidade à chamada.

O objetivo é convencer o usuário a realizar uma “redefinição de conta” para interceptar senhas ou códigos de verificação e tomar o controle da conta do Gmail.

Outro método identificado visa os usuários do Google Cloud e explora uma vulnerabilidade conhecida como “dangling buckets”. A técnica se aproveita de endereços de acesso desatualizados para roubar dados ou injetar malware nos serviços em nuvem das vítimas.

Risco evitável

Especialistas em cibersegurança ouvidos pela Forbes apontam que o ataque ao Google expõe duas vulnerabilidades críticas: a dependência de plataformas de terceiros e o fator humano. Dray Agha, gerente sênior de operações de segurança da Huntress, alertou para os “riscos críticos da cadeia de suprimentos representados por plataformas de terceiros”.

Outros especialistas foram mais longe, afirmando que “hacks como este são evitáveis”. Federico Simonetti, CTO da Xiid, afirma que ataques de engenharia social que visam a redefinição de senhas se tornam “impossíveis” quando as empresas implementam uma autenticação verdadeiramente sem credenciais.

Para o outro lado, dos usuários, resta o cuidado: desconfie de qualquer contato que se apresente como suporte técnico da empresa, que não faz esse tipo de abordagem. Ative a verificação em duas etapas e, caso tenha alguma suspeita, faça a verificação de segurança do Google.