Une erreur dans le texte ?

Après le phishing contre Docs, Google renforce ses règles

L'affaire remonte au début du mois de mai. La suite bureautique de Google a été la cible d'une redoutable campagne de hameçonnage (ou phishing) visant à récupérer frauduleusement les informations personnelles d'internautes. Redoutable, car en plus de s'attaquer à un utilisateur de Docs, le logiciel de traitement de texte proposé par Google, l'attaque avait une dimension virale pour atteindre d'autres usagers.

Alerté par cette campagne de hameçonnage qui se répandait comment une traînée de poudre, Google a très vite pris les dispositions qui s'imposent pour la faire cesser.

On pouvait ainsi lire la déclaration suivante dans un communiqué : « nous avons pris des mesures pour protéger les utilisateurs contre un courrier électronique impliquant Google Docs et avons désactivé des comptes litigieux. Nous avons supprimé les pages factices, fait les mises à jour via la navigation sécurisée et notre équipe qui gère les abus travaille en ce moment pour éviter que ce type d’usurpation ne se reproduise ».

Par la suite, on apprenait que l'attaque avait profité d'une faiblesse dans OAuth, un protocole libre d’identification par services. Plus embêtant, cette faiblesse était ancienne : en effet, une méthode d'hameçonnage proche de celle qui a affecté Google Docs avait été décrite il y a cinq ans. Dans ce scénario, un client OAuth se fait passer pour Google et incite ensuite les usagers à donner les autorisations d'accès requises.

Aujourd'hui, Google annonce de nouvelles règles pour mieux encadrer ce que peuvent faire ou ne pas faire les développeurs qui accèdent et utilisent ses services. En particulier, la firme de Mountain View entend renforcer le contrôle de l'identité des développeurs. La société prodigue également quelques conseils, comme pour nommer une application web, et explique avoir déployé de nouvelles mesures pour repérer les actions malveillantes.