Gmail: kincsesbánya a spammereknek?

Egy támadó egy ártó módon létrehozott website révén el tudta érni, hogy a gyanútlan gmailező címlistájának összes elemét lemásolhassa, állítja a Googling Google blog. Egyetlen feltétele volt csak a támadás sikerességének, mégpedig az, hogy az internetező be legyen jelentkezve a Gmail vagy más Google szolgáltatásba. Így az ingyenes, reklámokkal fenntartott szolgáltatás kvázi a spammerek kincsesbányájaként működhetett (volna).

Mindez azonban pár napja már a múlté. Haochi Chen, a Google egyik lelkes használója ugyanis a múlt héten észrevette a hibát: éppen a Google Video egyik szolgáltatását (Pick People to Email) próbálgatta, amivel a Gmail címlistában szereplő emberek számára lehet érdekes videókat továbbküldeni. Chen felfedezte, hogy a szolgáltatással nem csak a saját kontaktlistájához fér hozzá, hanem másoké is megnyílik előtte – a férfi nem sokkal ezt követően értesítette a szolgáltatót.

Heather Adkins, a vállalat egyik információbiztonsági menedzsere kedden elismerte, hogy a vállalatot informálták a hibáról, és bejelentette, hogy órákkal később már el is tüntették a biztonsági rést. A keresőóriás később felfedezte, hogy ugyanez a probléma más Google szolgáltatásokat is érint, ezekre egy napon belül hozta létre a javítást. Adkins egy e-mailen kiadott közleményben tájékoztatta a nyilvánosságot, hogy a cég legjobb tudása szerint ártó szándékkal nem használta ki senki a biztonsági réseket, így egyetlen ügyfelük címlistája sem került veszélybe.

A technikai részletek: a Google hiba a Javascript Object Notation (JSON) adatcsere formátum használatából adódott. Ezek az objektumok ugyanis, ha rossz cél szolgálatába állnak, akaratlanul is elárulhatnak információkat, közölte Adkins. Arról azonban hallgatott a menedzser, hogy mennyire nem jött ez jókor a Google-nek a felhasználói bizalmat tekintve. Hiszen pár napja derült ki, hogy a Gmail több tucat felhasználójának e-mailjei eltűntek a postaládájából. Amint arról mi is írtunk, az érintett gmailezők többsége mindmáig nem kapta vissza elektronikus leveleit.