Il falso login Gmail nascosto in un data URL

Nel gennaio 2017 Wordfence descrisse un phishing che sfruttava messaggi plausibili e anteprime di allegati per attirare l'utente verso un falso login Gmail. Il nome di un contatto conosciuto rendeva l'esca più credibile.

La pagina non era ospitata su accounts.google.com. L'indirizzo iniziava con data:text/html: il browser interpretava contenuto incluso nell'URL stesso. Il nome di Google compariva nella lunga stringa per ingannare chi controllava soltanto una parte della barra.

Inserire le credenziali nella pagina falsa le consegnava agli attaccanti. La successiva modifica dell'interfaccia di Chrome segnalata da Wordfence aiutava a riconoscere quel particolare trucco, senza eliminare il phishing in generale.

Per accedere alla posta, aprire direttamente il sito o un segnalibro affidabile. Controllare schema e dominio, non soltanto il logo. La 2FA riduce il rischio ma codici e approvazioni possono essere sottratti o inoltrati con altri attacchi; passkey e chiavi di sicurezza offrono protezione dal phishing basata sul dominio. Un dispositivo già compromesso rimane un problema distinto.

Fonti e verifica

• Wordfence: analisi e aggiornamenti del 2017
• NIST: autenticazione e resistenza al phishing