Account GMail a rischio: aggressori remoti potrebbero spiarne il contenuto

Secondo quanto dichiarato ieri da un ricercatore, gli account GMail di Google potrebbero essere facilmente violati mettendo a rischio tutte le informazioni personali ed i dati sensibili memorizzati nei messaggi di posta elettronica conservati online. L’autore della scoperta è sempre Petko D. Petkov che nelle scorse settimane si è messo ampiamente in evidenza per aver messo a nudo vulnerabilità in Apple QuickTime, in Windows Media Player ed in Adobe Acrobat Reader.
Stando a quanto affermato da Petkov, che per il momento ha responsabilmente preferito non pubblicare i dettagli sulla falla di sicurezza che interessa Google GMail, la vulnerabilità risiederebbe nella funzionalità che si occupa di filtrare i messaggi di posta.
Un attacco potrebbe innescarsi nel momento in cui l’utente visiti un sito web maligno, opportunamente sviluppato per far leva sulla lacuna di sicurezza, rimanendo loggato al servizio GMail. Il sito maligno avvierà poi quello che Petkov definisce “multipart/form-date POST”, un comando che può essere impiegato per caricare file, inviandolo all’application programming interface di GMail. L’aggressore avrà la possibilità di “iniettare” un filtro personalizzato a quelli usati da GMail.
In alcune schermate dimostrative pubblicate sul sito Gnucitizen.org, Petkov ha illustrato un possibile forma di attacco: “nell’esempio, l’aggressore prepara un filtro aggiuntivo che permette di estrarre le e-mail con allegato e le inoltra ad un altro indirizzo e-mail di sua scelta”, ha dichiarato il ricercatore.
La vittima dell’attacco sarà costantemente “sotto scacco” (la sua posta elettronica, nell’esempio, continuerà ad essere inoltrata a terzi, a sua insaputa e senza la sua autorizzazione) finché il filtro “maligno” sarà presente nella scheda Impostazioni, Filtri del servizio GMail.
Google, da parte sua, ha confermato l’esistenza del problema di sicurezza ed ha dichiarato di essere al lavoro per risolvere la vulnerabilità. Non si è parlato ancora di tempistiche sebbene l’azienda fondata da Page e Brin si stia adoperando per provvedere “a stretto giro di posta”, è proprio il caso di dirlo.
Secondo Giorgio Maone, autore del popolare add-on “NoScript” per il browser Mozilla Firefox, il suo software sarebbe in grado di bloccare la vulnerabilità in questione proprio perché permette di evitare attacchi come quello scoperto da Petkov (“cross-site request forgery”, CSRF).
Da parte nostra, ci sentiamo di suggerire di effettuare – almeno per il momento – il logout dal servizio GMail quando si “naviga” in Rete, soprattutto su siti web sconosciuti.