gmal niebezpieczny

[BD]

Chcecie darmowe konta pocztowe Gmail? To pytanie, to teraz według CNET, nowa sztuczka służącą tzw. phishingowi, czyli wykradaniu danych użytkowników, zbieraniu ich adresów pocztowych oraz haseł. 

Dostępny jedynie dla wybranych, serwis pocztowy kusi użytkowników. Nowa „akcja” „phishingowa” skierowana jest w stronę posiadaczy kont Gmial, oferując im możliwość zaproszenia do serwisu pocztowego trzech bądź sześciu nowych przyjaciół (to w ten sposób poszerzane są kręgi użytkowników serwisu). W liście przesyłany jest formularz, który dany użytkownik może wypełnić. Niestety, trzeba tam podać także swój login i hasło do obecnie wykorzystywanego konta. 

CNET spekuluje, po co phisherom dane kont pocztowych Gmail. Jednym z rozwiązań jest chęć pozyskania adresów i wysyłanie za pomocą tych kont spamu, inną, chęć przeszukiwania zapisanych w kontach tych informacji w poszukiwaniu danych dotyczących np. kart kredytowych itp.

[piotrek]

co za bzdury :shock:

[BD]

co za bzdury :shock:

Dlaczego tak myslisz?

To calkiem dobry sposob do zbierania danych ludzi chcacych miec konta Gmaila. Poza tym w ten sposob mozesz dobrac sie do innych kont naiwnych userow. NIe mowie juz o tym, ze wielu ludzi jest przywiazanych do swoich loginow/hasel do tego stopnia, ze stosuje je wszedzie gdzie popadnie. A wiec jak raz zdobeziesz taka parke - login/pass - to masz klucz do wszystkiego

[weecioo]

co za bzdury :shock:

Skoro nawet "CNET spekuluje, po co phisherom dane kont pocztowych Gmail" to chyba znaczy ze nikt nie wie po co ale ktos dostał spreparowanego maila, więc chyba jednak ktoś phishuje

Zwłaszcza ze ten proceder robi sięcoraz popularniejszy, np. wczoraj pojawił się phishing nacelowany na posiadaczy kont w mbanku, dość sprytny nawet. Ale AFAIK już ktoś zareagował i zdjął lewą domenę

[piotrek]

Dlaczego tak myslisz?

Myślę że to akurat wiadomości wyssane z palca. Napewno gmail popsuł szyki niejednej firmie udostępniającej darmowe skrzynki pocztowe. Moim zdaniem gmail genialnie buduje swoje społeczeństwo Internetowe i należy ich naśladować a nie krytykować

Równie dobrze można oskarżyć o zbieranie loginów i haseł każdy system wymagający rejestracji z podaniem maila.

Kto wie czy takie rozwiązanie nie byłoby najlepszym rozwiązaniem w webwweb!

[weecioo]

Równie dobrze można oskarżyć o zbieranie loginów i haseł każdy system wymagający rejestracji.

hmmmm ale albo ja cos zle rozumiem albo nie rozumiem IMO nie chodzi o to ze gmail "uprawia proceder" ino ze ktos podszywa sie pod gmaila i wysyla falszywe formularze? na tym polega przecie phishing, chyba ze czegos nie wiem o sposobie w jaki dziala gmail bo konta tam nie posiadam. :?:

Bynajmniej nie odebralem tego jako atak na gmaila tylko informację że ktoś wykorzystuje popyt na konta na gmailu

[piotrek]

hmmmm ale albo ja cos zle rozumiem albo nie rozumiem

I właśnie ja tego nie rozumiem. Oooo! :shock: jeśli w artykule chodzi że ktoś podszywa się pod zaproszenia Gmail i wykrada w ten sposób jakąkolwiek informację to należy go wychłostać!

Z drugiej jednak strony zaproszenia do Gmail są jednak OCZEKIWANE, wysyłane są za wcześniejszym porozumieniem - dzięki czemu tylko ktoś naiwny może się skusić i paść ofiarą procederu.

Najbardziej niezrozumiałe dla mnie jest to podawanie haseł? Przecież zaproszenie kieruje na oficjalne strony Gmail i dopiero tam zostawia się jakiekolwiek dane.

XXXXX has invited you to open a free Gmail account. The invitation 

will expire in three weeks and can only be used to set up one account.

To accept this invitation and register for your account, visit

https://gmail.google.com/gmail/XXXXXXXXXXXXXXXXXXX

Once you create your account, XXXXXXX will be notified with 

your new @gmail.com address so you can stay in touch with Gmail!

If you haven't already heard about Gmail, it's a new search-based webmail 

service that offers:

- 1,000 megabytes (one gigabyte) of free storage

- Built-in Google search that instantly finds any message you want

- Automatic arrangement of messages and related replies into 

  "conversations"

- Text ads and related pages that are relevant to the content of your 

  messages

Gmail is still in an early stage of development. If you set up an 

account, you'll be able to keep it even after we make Gmail more 

widely available and as one of the system's early testers, you will 

be helping us improve the service through your feedback. We might ask 

for your comments and suggestions periodically and we appreciate your 

help in making Gmail even better.

Thanks,

The Gmail Team

To learn more about Gmail before registering, visit:

https://gmail.google.com/gmail/help/benefits.html

(If clicking the URLs in this message does not work, copy and paste them

into the address bar of your browser).

Ktoś pisał notaktę ale chyba sam nie dostał nigdy zaproszenia do Gmaila i nie wie jak to wygląda

[Rafal]

tylko ktoś naiwny może się skusić i paść ofiarą procederu

Ludzi naiwnych jest więcej niż nam się wydaje.

[BD]

wczoraj pojawił się phishing nacelowany na posiadaczy kont w mbanku, dość sprytny nawet. Ale AFAIK już ktoś zareagował i zdjął lewą domenę

Na mordpliku jest opis i analiza tego przypadku

[michal]

Ktoś pisał notaktę ale chyba sam nie dostał nigdy zaproszenia do Gmaila i nie wie jak to wygląda

Phishing wyglada tak, ze dostajesz dokladnie taki sam email. Jak najedziesz myszka na url do klikniecia to w pasku pokazuje sie prawdziwy adres gmail.google.com/blablabla... , ale jestes kierowany na strone np. gmail.google.xx.com/blablbalbabla..... i ta strona wyglada identycznie do prawdziwej strony gmail. Wpisujesz tam swoj logi i haslo i po nacisnieciu guzika, jestes wysylany na strone gmail z wiadomoscia ze sie nie powiodlo, a Twoje dane wchodza do bazy wlasciciela lewej strony i ma on dostep do Twoich danych.

Z drugiej jednak strony zaproszenia do Gmail są jednak OCZEKIWANE, wysyłane są za wcześniejszym porozumieniem - dzięki czemu tylko ktoś naiwny może się skusić i paść ofiarą procederu.

wiec, Ty nie masz sie o co martwic, bo Twoje zaproszenie bylo prawdziwe.

[piotrek]

Phishing wyglada tak, ze dostajesz dokladnie taki sam email

Tak, rozumiem, i jeden wiosek przychodzi mi do głowy - najwyższa pora nauczyć się wciskać "delete".

wiec, Ty nie masz sie o co martwic, bo Twoje zaproszenie bylo prawdziwe.

wiem bo i skrzynka działa

[michal]

Tak, rozumiem, i jeden wiosek przychodzi mi do głowy - najwyższa pora nauczyć się wciskać "delete".

Jak sie dostaje takie emaile, to powinno sie spojrzec w zrodlo strony i przeanalizowac url'e.

Chociaz, szczerze to ja poprostu kasuje wszytskie emaile jak ktokolwiek pyta mnie o haslo.

wiem bo i skrzynka działa

[BD]

Tak, rozumiem, i jeden wiosek przychodzi mi do głowy - najwyższa pora nauczyć się wciskać "delete".

Wiesz nalezy myslec. Wielu ludzi jest naiwnych i nie mysli.

Sa pewne zasady ktorymi nalezy sie kierowac i np MS nigdy nie wysyla patchy na maile zebys sie nimi zabezpieczyl, banki nigdy nie prosza o potwierdzenie prawdziwosci hasla i loginu, etc.

Michal slusznie zauwazyl, ze maile w ktorych pytaja o haslo nalezy kasowac.

PS

Takie oszukancze maile zawsze wysylane sa w HTML a wiec stosunkowo prosto mozna sie przed tym zabezpieczyc wylaczajac HTML w swoim kliencie poczty. Wtedy nie bedzie dalo sie podpiac falszywego linka pod linka w anchortekscie . Nie zadzialaja rowniez skrypty i cala reszta rzeczy ukrytych w zrodle maila. Pomijam juz tutaj fakt, ze rowniez zwykly spam w ten sposob ucierpi bo np nie zdzialaja e-pluskwy

[piotrek]

Będę pamiętał ;)

[Rafal]

Takie oszukancze maile zawsze wysylane sa w HTML a wiec stosunkowo prosto mozna sie przed tym zabezpieczyc wylaczajac HTML w swoim kliencie poczty.

Należy jeszcze pamiętać o dziurze w Internet Explorer. Adres na pasku może być inny niż prawdziwy adres strony.