「Google Docsのドキュメント共有を装ったフィッシング攻撃が発生」記事へのコメント

こういうのもphishingって言うの？

[Anonymous Coward]

Googleの正規のログイン画面が表示されるのに、phishgingというのかしら。
話がどうもよくわからん。

Re:こういうのもphishingって言うの？

[Anonymous Coward]

> Googleの正規のログイン画面が表示されるのに、phishgingというのかしら。
> 話がどうもよくわからん。

この辺が分かりやすい

http://www.appbank.net/2017/05/04/iphone-application/1341135.php [appbank.net]

仕組みとしては、もともとはGoogleアカウントに対する操作ができるサードパーティアプリの許可設定をするため

（例）
・「Thunderbird」 が 「メールの送受信ができます」 許可しますか？YES/NO

などとなるところで、

・「GoogleDocs」 が 「アドレス帳の管理とメールの送受信ができます」 許可しますか？YES/NO

となるように「GoogleDocs」という名前の悪意あるアプリと、それが使う権限や注釈を書いてGoogle上に登録しておく

で、この
「GoogleDocsという名前の悪意あるアプリに権限を付与するためのWebページへのURL」
を
「GoogleDocsでドキュメントが共有されました」
という内容のメールを
URL部分だけ改ざんして大量送信する

引っかかると「GoogleDocsという名前の悪意あるアプリ」にGoogleアカウント上のアドレス帳とメールの操作権限が渡される

同じようなことはGoogle以外のサービスでも可能なので、抜本的に対策しようとすると結構大変
同じことがすでに行われてるGoogle以外のサービスもあるんじゃないかな

Re:

[Anonymous Coward]

＞抜本的に対策しようとすると結構大変
だから見て見ぬふりをしていた、というわけでもないんだろうけど
https://it.slashdot.org/story/17/05/04/218210/google-was-warned-about-... [slashdot.org]
何年も放置していたのはまずかったですねぇ。

Re:

[Anonymous Coward]

15年くらい前に流行った、ActiveXのダイアログに「年齢認証」と表示するやつのWebアプリ版ってことね。歴史は繰り返す