Agujero de seguridad en Google Mail permite secuestrar la cuenta

Un fallo de seguridad en Google Mail al parecer permite a los atacantes definir sus propios filtros en la cuenta de una víctima a fin de reorientar ciertos e-mails a la dirección del atacante, así como poder cambiar la contraseña de la cuenta.

El error es un cross-site mediante una solicitud falsa (CSRF), en este caso mediante un sitio Web creado especialmente que establezca el filtro de correo en Google para redirigir el correo.

Para el ataque tenga éxito, la víctima tiene que tener una ventana del navegador abierta con Google Mail, y en otra ventana del navegador debe acceder a la página creada especialmente para explotar las vulnerabilidad.

Una vez que mediante el fallo de seguridad se ha establecido el filtro en Gmail, los atacantes pueden restablecer la contraseña de la cuenta de la víctima, y como pueden redirigir el correo, el atacante recibe el e-mail con las instrucciones para configurar una nueva contraseña para dicha cuenta.

Una vez que los atacantes han cambiado la contraseña tienen un control completo de la cuenta, con lo que pueden pedir un rescate para liberar la cuenta o venderla.

A mediados de 2007 hubo una vulnerabilidad muy similar, desde entonces se suponía que Google se había hecho cargo de este fallo.

Para protegerse de los ataques CSRF podéis utilizar el plugin para Firefox Noscript, que intenta detectar y bloquear las solicitudes sospechosas, además de que prevé la protección de los ataques cross-site. Por lo que sólo los usuarios que usen Mozilla Firefox como navegador pueden usar este plugin y estar protegidos.

Visto en Gmail Security Flaw Proof of Concept .