Waspada! Phishing Manfaatkan Layanan Google Cloud, Ribuan Bisnis Jadi Korban

Layanan Google yang sah kembali disalahgunakan dalam serangan phishing, berhasil menipu target untuk mengeklik tautan berbahaya dan memberikan kredensial login mereka. Serangan ini menargetkan ribuan bisnis melalui email palsu yang tampak seperti notifikasi resmi dari Google.

Ribuan Email Phishing Terdeteksi

Dalam laporan terbaru, peneliti keamanan siber dari Check Point mengungkapkan bahwa mereka telah menemukan hampir 10.000 email yang dikirim ke sekitar 3.200 bisnis dalam kurun waktu dua minggu.

Semua pesan dikirim dari akun email [email protected], yang berarti para pelaku menyalahgunakan Google Cloud Application Integration.

Penyalahgunaan Google Cloud Application Integration

Google Cloud Application Integration adalah layanan terkelola Google Cloud yang menghubungkan aplikasi, API, dan sumber data tanpa perlu menulis kode khusus. Layanan ini memungkinkan organisasi mengotomatiskan alur kerja antara layanan cloud, aplikasi SaaS, dan sistem internal menggunakan konektor, pemicu, dan tindakan bawaan. Email yang dihasilkan melalui Google Cloud Application Integration sering kali berasal dari infrastruktur dan domain milik Google, yang berarti email tersebut dikirim sebagai bagian dari alur kerja otomatis dan dapat mewarisi reputasi pengirim Google yang kuat.

Cara Kerja Serangan

Dalam kampanye phishing, pelaku ancaman dapat membuat atau membobol proyek Google Cloud dan mengonfigurasi alur kerja integrasi yang mengirim email melalui Gmail API atau layanan email terhubung lainnya. Dengan kata lain, ini adalah penyalahgunaan sederhana, bukan pelanggaran dalam infrastruktur Google.

Taktik Pelaku Phishing

Untuk membuat email tampak lebih meyakinkan, para penyerang memastikan bahwa pesan-pesan tersebut sangat mirip dengan gaya, bahasa, dan format notifikasi Google. Umpan yang paling umum termasuk pesan suara yang tertunda, atau pemberitahuan tentang berbagi dokumen.

Pengalihan ke Halaman Login Palsu

Tautan yang dibagikan dalam email ini mengarah ke storage.google.cloud.com, yang merupakan layanan Google Cloud tepercaya. Namun, kemudian dialihkan ke googleusercontent.com, di mana mereka harus melewati CAPTCHA palsu yang dibuat untuk memblokir pemindai keamanan. Akhirnya, para korban dialihkan ke halaman login Microsoft palsu, tempat mereka dapat ditipu untuk memberikan kredensial login mereka.

Target Serangan

Mayoritas korban berada di Amerika Serikat (48,6%), bekerja di bidang manufaktur/industri (19,6%), teknologi/SaaS (18,9%), dan keuangan/perbankan/asuransi (14,8%).

Respons Google

Google mengatakan kepada Check Point bahwa "beberapa kampanye phishing" yang menyalahgunakan Google Cloud Application Integration telah diblokir.

"Pentingnya, aktivitas ini berasal dari penyalahgunaan alat otomatisasi alur kerja, bukan kompromi infrastruktur Google. Sementara kami telah menerapkan perlindungan untuk membela pengguna terhadap serangan khusus ini, kami mendorong kewaspadaan berkelanjutan karena pelaku jahat sering kali mencoba meniru merek tepercaya. Kami mengambil langkah-langkah tambahan untuk mencegah penyalahgunaan lebih lanjut," pungkas Google.

"...Kami mengambil langkah-langkah tambahan untuk mencegah penyalahgunaan lebih lanjut," kata Google.