Como hackear o GMail!

Pode parecer brincadeira, mas nem mesmo os softwares da Google são invulneráveis.

Eu descobri à respeito da vulnerabilidade através dos relatos do Designer Gráfico David Airey.  Com essa vulnerabilidade, qualquer pessoa pode fazer com que os e-mails que você receba sejam encaminhados para uma outra conta de email, e ela pode até fazer com que o email seja apagado quando for encaminhado.

Foi o que aconteceu com o David. O hacker teve acesso à conta de email dele e conseguiu um email com a conta do domínio do site dele na internet, www.davidairey.com, e pediu que esse domínio fosse transferido para o hacker se passando pelo David. Basicamente, agora o hacker quer dinheiro para devolver o domínio ao David (que ele, aliás, já disse que não vai pagar).

A vulnerabilidade se deve graças à um hook que permite um ataque XSS, que qualquer site malicioso pode fazer contanto que uma pessoa visitando aquele site esteja logada no GMail. Assustador não?

Mais informações sobre a vulnerabilidade podem ser encontradas no beford.org

A Google já corrigiu o problema, mas pode ser que, caso algo tenha acontecido com a sua conta, seus emails ainda estejam sendo encaminhados para um outro endereço de email malicioso. Na dúvida, veja como garantir que você está protegido:

Entre no Gmail, e no canto superior direito clique em “Configurações” e então “Filtros”. A seguinte tela deve aparecer.

Clique para ampliar

Como o ataque consiste em inserir um filtro malicioso nos seus emails, caso seu email tenha sido invadido, ele possuirá um filtro similar ao da foto à seguir:

Clique para ampliar

Perceba que há um filtro não reconhecido por você registrado no email. Se esse for o caso, basta apagar o filtro e você estará protegido de agora em diante, já que a Google corrigiu a vulnerabilidade que permitia terceiros adicionarem o filtro ao GMail. No entanto, pode ser que algum dos seus e-mails anteriores tenha sido interceptado.  Portanto, é recomendado que você altere todas as senhas, etc. que possam ter sido enviadas para você por e-mail.

É isso. Segue de conselho para nós, usuários, que às vezes temos a ilusão de que não existem mais falhas de segurança nas aplicações web sendo desenvolvidas. Afinal, confiamos uma grande parte de nossos dados pessoais (e às vezes até mesmo informações críticas sobre nossos negócios, dinheiro, etc) à tecnologia, e a máxima de “Não existe nada 100% seguro” continua sendo verdade. Pense bem nisso antes de digitar sua senha da Google no Facebook, ou armazenar todos os seus dados pessoais em algum lugar, todas as suas fotos particulares em algum serviço da web, etc.

E serve de alerta para nós, desenvolvedores de aplicações web também. Afinal, ninguém é capaz de escrever software perfeito, e nós temos que garantir que caso um defeito seja encontrado, ocorra o mínimo de dano possível à nossos clientes.