En mai 2017, une attaque de phishing désormais connue sous le nom de « ver Google Docs » se répandre sur Internet. Il a utilisé des applications Web spéciales pour usurper l’identité de Google Docs et demander un accès approfondi aux e-mails et aux listes de contacts dans les comptes Gmail. L’arnaque était si efficace parce que les demandes semblaient provenir de personnes que la cible connaissait. S’ils accordaient l’accès, l’application distribuerait automatiquement le même e-mail frauduleux aux contacts de la victime, perpétuant ainsi le ver. L’incident a finalement affecté plus d’un million de comptes avant que Google ne réussisse à le contenir. De nouvelles recherches indiquent, cependant, que les correctifs de l’entreprise ne vont pas assez loin. Une autre arnaque virale Google Docs pourrait arriver à tout moment.

Le phishing et les escroqueries de Google Workspace tirent une grande partie de leur pouvoir de la manipulation de fonctionnalités et de services légitimes à des fins abusives, explique le chercheur indépendant en sécurité Matthew Bryant. Les cibles sont plus susceptibles de tomber dans le piège des attaques car elles font confiance aux offres de Google. La tactique place également en grande partie l’activité hors de la portée des outils antivirus ou d’autres scanners de sécurité, car elle est basée sur le Web et manipule une infrastructure légitime.

Dans une recherche présentée à la conférence sur la sécurité Defcon ce mois-ci, Bryant a trouvé des solutions de contournement que les attaquants pourraient potentiellement utiliser pour contourner les protections améliorées de l’espace de travail de Google. Et le risque de détournements de Google Workspace n’est pas seulement théorique. Un nombre de escroqueries récentes utiliser la même approche générale de la manipulation de vraies notifications Google Workspace et des fonctionnalités pour rendre les liens ou les pages de phishing plus légitimes et attrayants pour les cibles.

Bryant dit que tous ces problèmes découlent de la conception conceptuelle de Workspace. Les mêmes fonctionnalités qui rendent la plate-forme flexible, adaptable et orientée vers le partage offrent également des opportunités d’abus. Avec plus de 2,6 milliards d’utilisateurs de Google Workspace, les enjeux sont élevés.

« La conception a des problèmes en premier lieu, et cela conduit à tous ces problèmes de sécurité, qui ne peuvent pas simplement être résolus – la plupart d’entre eux ne sont pas des correctifs magiques uniques », a déclaré Bryant. « Google a fait un effort, mais ces risques proviennent de décisions de conception spécifiques. Une amélioration fondamentale impliquerait le processus douloureux de ré-architecture potentiellement de ce genre de choses. »

Après l’incident de 2017, Google a ajouté plus de restrictions sur les applications pouvant s’interfacer avec Google Workspace, en particulier celles qui demandent tout type d’accès sensible, comme les e-mails ou les contacts. Les particuliers peuvent utiliser ces applications « Apps Script », mais Google les prend principalement en charge afin que les utilisateurs en entreprise puissent personnaliser et étendre les fonctionnalités de Workspace. Avec les protections renforcées en place, si une application compte plus de 100 utilisateurs, le développeur doit la soumettre à Google pour un processus d’examen notoirement rigoureux avant qu’elle ne puisse être distribuée. Pendant ce temps, si vous essayez d’exécuter une application qui compte moins de 100 utilisateurs et qui n’a pas été examinée, Workspace vous affichera un écran d’avertissement détaillé qui vous décourage fortement d’aller de l’avant.

Même avec ces protections en place, Bryant a trouvé une faille. Ces petites applications peuvent s’exécuter sans alerte si vous en recevez une jointe à un document d’un membre de votre organisation Google Workspace. L’idée est que vous fassiez suffisamment confiance à vos collègues pour ne pas avoir à vous soucier d’avertissements et d’alertes rigoureux. Ces types de choix de conception, cependant, laissent des ouvertures potentielles pour les attaques.

Par exemple, Bryant a découvert qu’en partageant le lien vers un document Google auquel l’une de ces applications est attachée et en remplaçant le mot « modifier » à la fin de l’URL par le mot « copier », un utilisateur qui ouvre le lien verra un invite bien visible « Copier le document ». Vous pouvez également fermer l’onglet, mais si un utilisateur pense qu’un document est légitime et clique pour en faire une copie, il devient le créateur et le propriétaire de cette copie. Ils sont également répertoriés en tant que « développeur » de l’application qui est toujours intégrée dans le document. Ainsi, lorsque l’application demande l’autorisation de s’exécuter et d’accéder aux données de son compte Google (aucun avertissement n’est ajouté), la victime verra sa propre adresse e-mail dans l’invite.

Tous les composants d’une application ne seront pas copiés avec le document, mais Bryant a également trouvé un moyen de contourner ce problème. Un attaquant pourrait intégrer les éléments perdus dans la version de Google Workspace d’une « macro » d’automatisation des tâches, qui sont très similaires aux macros qui sont si souvent abusé dans Microsoft Office. En fin de compte, un attaquant pourrait obtenir qu’un membre d’une organisation s’approprie et accorde l’accès à une application malveillante qui peut à son tour demander l’accès aux comptes Google d’autres personnes au sein de la même organisation sans aucun avertissement.