😱 Il caso GOOGLE DOCS: un milione di account infetti

Il 3 maggio 2017 era un mercoledì come tanti altri. Molte persone erano in ufficio davanti al computer e stavano lavorando, modificavano documenti, scrivevano mail, partecipavano a video call. Alcune di queste persone quella mattina ricevettero una mail all'apparenza normalissima, il tipo di mail che chiunque abbia mai lavorato con l'ecosistema Google, quindi con Google Drive, Google Docs, Google Sheets, eccetera, ha visto almeno una volta. Era la mail automatica che viene inviata quando qualcuno condivide con voi un documento Google. Il mittente è la persona che ha condiviso quel documento, c'è una piccola anteprima del file e poi il pulsante blu con scritto "Apri su Google Docs". Dietro a quella mail si nascondeva in realtà un capolavoro di grafica e di manipolazione psicologica, rese ancora più efficaci dal coinvolgimento di Google che involontariamente era diventato complice di questo attacco. Nel giro di poche ore furono compromessi oltre 900.000 account. E quando Google se ne accorse, dovette fare i salti mortali per sistemare il disastro che aveva contribuito a creare. Ma per capire bene come è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. La scorsa settimana abbiamo parlato di come funziona l'accesso single sign on, ovvero il meccanismo dietro ai pulsanti accedi Accedi con Facebook, eccetera. Abbiamo parlato anche del fatto che oggi la procedura Accedi con Google si compone di due parti: una prima parte di autenticazione, che serve a dire a Google, guarda che sono io che voglio accedere a questo sito, e una seconda parte di autorizzazione, che serve invece a dire a Google, voglio dare a questo sito il permesso di vedere questi miei dati come email, nome e cognome, eccetera. Vi avevo anticipato che questa seconda parte va tenuta d'occhio, perché devo sempre controllare quali permessi mi sta chiedendo un sito web e valutare se è il caso di darglieli. Ed è proprio su questa parte che anche un'azienda come Google è stata ingannata. Ma andiamo con ordine. La nostra storia inizia il 3 maggio 2017 con quella che sembra una semplice email pulita ed essenziale, scritta in realtà da malintenzionati particolarmente attenti ai dettagli. L'oggetto era tipo: Mario Rossi ha condiviso un documento con te. Al posto di Mario Rossi c'era il nome di qualcuno uno che la vittima conosceva e con cui aveva già scambiato alcune mail in precedenza. Poteva essere il suo capo, un collega, un cliente, un familiare. Chiunque fosse quella persona, apparentemente aveva creato un documento Google e lo aveva condiviso con la vittima, che aveva ricevuto la classica mail automatica di Google. Nel corpo del messaggio c'era una finestra con una piccola anteprima del documento, di cui comunque non si riusciva a capire il contenuto, e il classico pulsante Apri su Google Docs. Ora, Ora, se usate un po' Google Docs, che è l'alternativa di Google a Word, e avete presente quindi come funziona la condivisione dei documenti, sapete anche che normalmente questo genere di mail indica anche il titolo del documento che viene condiviso e dall'anteprima si riescono a vedere le prime righe, quindi si riesce ad avere, diciamo, un'idea del contenuto. In questa mail invece queste due caratteristiche erano assenti. Può sembrare un errore dei malintenzionati, ma con tutta probabilità si trattava invece di una cosa voluta, fatta per due motivi. Il primo è che queste mail erano inviate in modo massivo e automatico, quindi dovevano attirare l'attenzione di tutti senza destare troppi sospetti. Immaginate di ricevere una mail con oggetto "Mario Rossi ha condiviso con te il documento intitolato bozza di contratto". Se Mario Rossi è il vostro avvocato, va benissimo, ci cascate. Ma se Mario Rossi è il magazziniere dell'azienda in cui lavorate, magari un dubbio vi viene. Se invece la mail è generica e c'è scritto solo che è stato condiviso un documento con voi, può provenire anche dal magazziniere, ma la curiosità vi viene. Anzi, forse vi viene ancora di più se a condividere un documento con voi è il magazziniere. Il secondo motivo è legato a quello che gli psicologi chiamano effetto Zeigarnik, ovvero quello stress che proviamo quando un'informazione è incompleta. Il nostro cervello è curioso e odia stare sulle spine. Se vi arriva questa mail e il documento è intitolato "Appunti della riunione del 30 aprile", non avete questo stress. Sapete cosa contiene il documento e sapete se è il caso di aprirlo subito o se è una cosa che può aspettare. Ma se l'oggetto è solo "Tizia ha condiviso un documento con te", quella mail diventa un prurito mentale. Viene molto più istintivo cliccare per capire cosa è stato condiviso con noi e poi capire se se ha senso rimanere su quel documento o spostare la cosa a dopo. Questi due motivi insieme fecero strage, le persone cliccavano effettivamente su quel pulsante, anche per altri motivi in realtà. Il mittente, come dicevo, era qualcuno che la vittima conosceva. E attenzione, non si trattava di una finzione, la mail proveniva davvero da un contatto Gmail esistente e che aveva già scambiato altri messaggi con il malcapitato. E questo permetteva alla mail di bypassare tutti i filtri antispam e antiphishing. Perché proveniva da un account Gmail legittimo. In realtà c'erano due dettagli molto importanti che avrebbero fatto capire immediatamente che qualcosa non andava, ma che purtroppo erano ben nascosti dalla normalità di tutto il resto. Nelle mail di condivisione documenti il messaggio non proviene da un account Gmail, ma da un indirizzo creato ad hoc da Google, tipo drivesharesdmnoreply@gmail.com. Invece, come dicevo, in questo caso il messaggio proveniva direttamente dall'account Gmail di un conoscente. Il secondo dettaglio era che la vittima non era la destinataria diretta, era in copia nascosta, presumibilmente insieme a decine di altre persone. Il destinatario diretto della mail invece era un indirizzo strano di Mailnator, che è un servizio che consente di creare una mail temporanea, usa e getta, quindi irrintracciabile. Il problema è che essendo l'estetica della mail praticamente perfetta e avendo bypassato tutti i filtri di sicurezza di Gmail, le vittime semplicemente non si accorgevano di questi due dettagli. Vi dico la verità, io guardo l'header delle mail, quindi quella parte, quel riquadro in cui c'è scritto chi è che manda la mail, chi è che l'ha ricevuta, se sono in copia, se sono la destinataria diretta, eccetera. Lo guardo praticamente sempre, ormai lo faccio di default, ma mi sono resa conto studiando per questo video che un header che non vado mai a guardare è proprio quello della mail che Google manda in automatico quando qualcuno condivide un documento con me. Quindi probabilmente ci sarei cascata. Adesso ho sbloccato una nuova ansia, mi toccherà controllare sempre gli header anche di queste mail. Quindi niente, fondamentalmente non ho mai pace. Comunque la vittima generalmente non controllava l'header e quindi non si accorgeva di questi due indizi e cliccava sul pulsante blu per aprire il documento. Anche qui altro colpo di genio: il link non portava a una pagina page fake o malevola come quella che vi ho fatto vedere che ho creato nello scorso video, ma portava a una normalissima pagina legittima di autenticazione Google. Anche andando a guardare tutto l'URL in alto, l'utente non avrebbe notato nulla di strano. Quindi cosa doveva fare? L'utente sceglieva con quale account accedere e subito dopo si trovava nella pagina in cui si autorizzano gli accessi. Anche qui la pagina era perfettamente legittima, era una pagina realmente generata da Google con scritto Google Google Docs richiede l'accesso al tuo account Google, al tuo account Gmail e ai tuoi contatti. Cliccando su Autorizza, l'utente inconsapevolmente stava dando ai malintenzionati il permesso di inviare mail a raffica a tutti i contatti Gmail con lo stesso identico contenuto di quella che aveva ricevuto lui. Quindi se io ci fossi cascata, e vi ho detto che poteva essere tranquillamente possibile, e avessi dato gli accessi, a quel punto tutte le persone con cui io abbia mai scambiato una mail avrebbero ricevuto la mail con "Veronica Paolucci ha condiviso un documento con te" e la cosa si sarebbe propagata ancora di più. Facciamo un attimo un passo indietro perché potreste chiedervi: ma quindi era stato hackerato Google Docs? In che modo autorizzare Google Docs a vedere il proprio account Gmail portava all'invio di tutti quei messaggi di phishing? La realtà è molto più semplice di così e forse proprio per questo è stata così efficace. Nello scorso video abbiamo visto insieme cosa succede se io faccio "Accedi con Google" su un sito come eBay. C'è una pagina di autorizzazione in cui Google mi dice: eBay vuole accedere a questi dati, va bene per te? Se io faccio la stessa cosa su un altro sito, tipo ChatGPT, ci sarà scritto in alto: ChatGPT vuole accedere a questi dati. Gli hacker quindi hanno pensato: ma se noi creassimo un'applicazione malevola che vede tutte le mail della vittima e manda in automatico a tutti i contatti un messaggio di phishing, e questa applicazione la chiamassimo Google Docs, l'utente vedrebbe solo Google Docs vuole accedere a questi dati. Ed è stato questo l'errore imperdonabile di Google: non impostare nessun tipo di filtro e lasciare che i criminali potessero creare app con lo stesso nome di qualcosa già esistente e collegato proprio a Google. Le due pagine di autenticazione e autorizzazione, come dicevo, erano legittime perché erano create in automatico. Quello che vedeva Google era questo: l'utente cliccava su un link che apriva la pagina di login a questo servizio chiamato Google Docs ma poteva chiamarsi anche Pippo Topolino, sarebbe stato uguale. Google Docs per operare aveva bisogno di vedere le mail della vittima, quindi chiedeva a Google l'accesso. Google chiedeva all'utente se era d'accordo, l'utente diceva di sì ed era tutto a posto. Era talmente banale come cosa che nessuno aveva pensato di mettere dei blocchi preventivi per evitare che succedesse. Dal canto suo l'utente poteva fare veramente poco perché era troppo facile essere ingannato, anche qualora si fosse attivata per qualche motivo l'autenticazione autenticazione a più fattori, l'utente avrebbe dato l'accesso anche dal telefono, perché era Google Docs apparentemente che stava chiedendo l'accesso. Quindi il punto è che era stato proprio ingannato a livello psicologico l'utente, e quindi dal punto di vista tecnico non c'era nulla che potesse essere fatto. L'utente avrebbe dato ogni autorizzazione richiesta da Google Docs. Quindi pagina di autenticazione, pagina di autorizzazione, l'utente dava tutti i permessi richiesti e a quel punto l'utente non vedeva nessun documento. Compariva un errore generico tipo "documento non trovato" oppure si arrivava alla home page di Google Docs, ma quel documento non lo vedeva. A quel punto ormai un dubbio poteva anche venire, ma era già troppo tardi. Approfittando dei permessi ottenuti, il malware stava già inviando a tutti i contatti la stessa mail. Il worm, questo malware autoreplicante che si faceva chiamare Google Docs, si diffuse così tanto che in poche ore infettò 1 milione di account. Molte persone non avevano fatto caso alle stranezze che ho citato, ma alcuni avevano notato qualcosa di strano e avevano condiviso su Twitter i loro dubbi. Il pomeriggio del 3 maggio le parole Google Docs diventarono un trending topic mondiale, termine che identifica un argomento di cui tutti parlano sui social. E ovviamente la voce arrivò anche alle orecchie di Google, che si mosse però, va detto, con una velocità impressionante. Il worm era partito in tarda mattinata e su Twitter la voce aveva iniziato a circolare verso l'1:30. Alle 15:20, quindi circa 2 ore dopo i primi avvisi, Google pubblicò un tweet in cui comunicava di aver preso provvedimenti per proteggere gli utenti. Aveva disabilitato l'applicazione malevola, quindi il finto Google Docs, revocato tutti i permessi dati dagli utenti a questa app, bloccato gli account usati per la propagazione e aggiornato il browser per marcare come pericolose le pagine coinvolte. Queste furono le prime misure, quelle immediate, volte a contenere l'ulteriore diffusione del malware, ma in seguito Google ne introdusse delle altre. In primis venne introdotto il programma OAuth Verification, che prevede una verifica manuale da parte di Google di tutte le app che chiedono permessi sensibili, come l'accesso alle mail, appunto. Senza verifica, nella pagina in cui la app chiede all'utente le autorizzazioni necessarie, compare l'avviso "Questa app non è verificata. In secondo luogo, Google impedì che applicazioni con nomi fuorvianti, come appunto Google Docs, potessero essere registrate e potessero quindi aderire al programma OAuth Verification. In questo modo, se oggi succedesse di nuovo una cosa simile, l'utente vedrebbe una pagina tipo: Google Docs richiede accesso ai tuoi documenti. Attenzione, questa app non è verificata da Google. Penso che a quel punto il dubbio verrebbe un po' a tutti. Perché se Google Docs non è verificata da Google c'è qualcosa che non va. Oltre a queste due misure sono stati rafforzati anche i controlli anti-spam e anti-phishing su Gmail, sono stati aumentati i controlli di monitoraggio dell'invio massivo di mail e altre misure di questo tipo, sempre per prevenire che una cosa del genere succeda di nuovo. A questo punto dobbiamo rispondere a due domande molto importanti che immagino vi siate fatti un po' tutti, cioè: 1. 1) Chi c'era dietro questo attacco? E 2) Cosa voleva ottenere? A nessuna delle due domande purtroppo è mai stata data una risposta precisa. Riguardo all'identità dei malintenzionati sono state fatte varie ipotesi, tutte abbastanza circostanziali visto che di prove concrete non ce n'erano. Alcuni ricercatori hanno suggerito potesse trattarsi di hacker governativi russi, ma va detto che ogni volta che c'è un attacco a un'azienda statunitense loro puntano il dito contro i russi, quindi mi mi sembra un'idea un po' banalotta. Tra l'altro, se pensiamo al caso SolarWinds che era stato attribuito ai russi e confrontiamo il modus operandi di quell'attacco con questo di Google Docs, vediamo che stanno proprio su due pianeti diversi. Quindi la vedo una teoria un po' forzata. Più interessante invece è l'ipotesi che dietro ci fossero semplicemente degli script kiddies, cioè degli hacker non particolarmente esperti che stavano facendo qualche esperimento. Secondo me questo ha molto più senso se guardiamo a come è stato compiuto l'attacco e anche allo scopo che c'era dietro. Il malware chiedeva l'accesso indiscriminato a Google Drive, Gmail e alla rubrica dei contatti della vittima, ma in realtà una volta ottenuti i permessi l'unica cosa che faceva era autoreplicarsi. Non rubava documenti da Google Drive, non leggeva le mail, letteralmente puntava solo a infettare più computer possibili. Sembra proprio uno di quegli esperimenti in cui qualcuno si mette lì che dice: oh, vediamo quante persone riesco a fregare. Non vedo un intento puramente malevolo. Vero che è stato un attacco che è durato poche ore ed è stato arginato subito, quindi magari in seguito in realtà quei permessi sarebbero stati sfruttati anche per rubare documenti e fare altre cose, ma non è il modus operandi di un hacker governativo. Loro non si fanno notare in questo modo così palese. Quindi francamente quella degli hacker governativi mi sembra un'ipotesi un po' campata per aria. Fra l'altro anche l'attacco in sé a livello tecnico non era così complicato. L'applicazione era creata con Google Apps Script, che è un linguaggio di programmazione tutto sommato abbastanza semplice, integrato nell'ecosistema Google. Vi dico, io lo uso spesso e non sono un'esperta, quindi la vedo come una cosa fattibile. La parte più complicata probabilmente era creare una mail che graficamente imitasse alla perfezione quella di Google sulla condivisione dei documenti, ma appunto era un lavoro quasi più di grafica che di tecnica. Veronica. Insomma, non sapremo mai chi c'era dietro, ma se dovessi scommettere punterei sull'hacker solitario o sul gruppetto di amici che fa qualche esperimento, piuttosto che sul team di ingegneri governativi di altissimo livello. Detto questo, cosa impariamo da questa vicenda? Sicuramente che dobbiamo stare attenti a tutti i dettagli. Controlliamo nel dubbio anche l'header delle mail di condivisione automatica, quindi quel riquadro con scritto appunto chi manda la mail, eccetera eccetera. Magari Anziché passar da lì, cioè anziché cliccare sul documento direttamente dalla mail, andiamo su Google Drive e guardiamo dalla sezione dei file condivisi con noi. Se è tutto a posto, dovremmo vedere il documento fra i primissimi risultati. Se non c'è, allora magari c'è qualcosa di strano. Se vogliamo proprio stare sul sicuro, contattiamo la persona che ci ha inviato la mail chiedendo di cosa si tratta, per capire se è una cosa legittima oppure no. Sono precauzioni che oggi possono sembrare un po' inutili, visto che Google teoricamente ha implementato misure che evitano che un attacco del genere si verifichi di nuovo, ma secondo me ci aiutano comunque a entrare nella giusta mentalità, che è quella di non fidarsi mai di niente e di nessuno quando si parla di tecnologia. E quando sentiremo che è troppo pesante il senso di ansia che proviamo, il piano B sappiamo già Bye time montagna e passa la paura. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già il caso, se conoscete qualcuno che è stato vittima di questo attacco. E noi ci rivediamo al prossimo video.