PC
가전
가전
PC
고정공지
(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.
놀이터 일간 추천 베스트 |
놀이터 일간 조회 베스트 |
보안 소식 [KISA]신종 Google Docs 피싱사고에 대한 구글 대응
작성자: Soundofsol 조회 수: 196 PC모드
- 구글社는 Google Docs 피싱 사고 발생과 관련하여, 서드파티 앱에 대한 등록 절차 등 앱 검정 프로세스를 강화했다고 밝힘
주요내용
- Google Docs를 모방한 서드파티 web app에 의한 피싱사고 발생
- 기존의 위조된 구글 로그인 사이트 유도를 통한 계정탈취가 아닌, 구글 서드파티 web app 설치를 유도한 후 사용자의 메일권한을 획득 및 피싱메일 발송
- 구글은 신종 피싱공격에 대해 서드파티 web app (안드로이드 앱 포함)에 대한 등록 절차 및 앱 위험평가를 강화하는 등 앱 검정 프로세스를 강화
- Google Docs 사용자 대상 피싱메일 공격 순서
1. 공격자는 피해자에게 Google Docs 문서를 공유하는 내용의 메일발송
2. 피해자는 메일을 수신한 적이 있는 사람으로부터 수신된 메일을 오픈
3. “Open in Docs“ URL 버턴 클릭시 새로운 로그인 창 생성이 아닌 현재 로그인한 세션으로 Google Docs 문서를 연결할 계정을 선택하게 함
4. 계정 선택시 구글 OAuth 승인 페이지를 팝업하여, 메일에 대한 전체 권한을 요구함
5. “Allow’ 버턴 클릭시 사용자 모르게 주소록에 있는 모든 사용자의 메일로 피해자가 받은 피싱 스팸메일을 복사하여 발송함
※ 피싱 공격이 성공한 주요 원인은 『 구글 OAuth 서비스에 등록된 서드파티 앱이 Google Docs와 동일한 이름과 유저인터페이스를 사용했기 때문』에 피해가 커짐
- 구글社의 긴급대응 및 보안조치
- 구글은 공격에 연관된 계정 정지, 해당 웹 앱 제거, 세이프 브라우징을 통한 피싱 경고 등 긴급대응으로 1시간 이내에 사용자들을 공격으로부터 보호함
- 구글은 신종 피싱공격에 대해 서드파티 web app 및 안드로이드 앱에 대한 앱 등록 절차를 강화하였으며 위험 평가 (수동검토) 강화 등 앱 검정 프로세스를 강화함
* 기존 앱을 수정해서 등록하는 앱에 대한 검사를 강화, 구글 자체 앱이나 다른 합법적인 개발사 앱과 똑같은 이름을 사용할 수 없게 조치, 피싱메일 필터링 강화
[출처]
1. Google Docs users hit with sophisticated phishing attack, 2017.5.3.
2. https://arstechnica.com/security/2017/05/dont-trust-oauth-why-the-google-docs-worm-was-so-convincing, 2017.5.4.
3. Updating developer identity guidelines and registration processes to protect users, 2017.5.11.
자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다
문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
구글은 플레이스토어도 그렇고 뭔가 검수절차가 부실한가 봅니다