一个有关EliGray发现的谷歌Inbox欺骗设计缺陷的故事

2020-07-20 10:30:13

几个月前,我们报道了一个有关Eli Gray发现的Google Inbox欺骗设计缺陷的故事。这将使人们能够发送mailto链接,从而欺骗电子邮件的收件人。这可用于欺骗人们将电子邮件发送到与所示地址不同的地址。这位研究人员再次发现了类似的设计缺陷,涉及收件人欺骗和PayPal移动应用程序,从而再次联系了我们。

此设计缺陷要求用户单击一个链接,该链接将打开Android默认应用选择器,然后选择PayPal。这将显示用于通过电子邮件向用户付款的选项。当您打开贝宝(PayPal)时,它会向您显示您认为会收到款项的地址。但是,贝宝显示给用户的地址与实际收件人不匹配。这意味着,例如,可以构造指向donations@unicef.org 的欺骗链接,以代替向scammer@spoofing.net汇款。您可以自己测试的链接在这里 (请勿向此电子邮件发送资金)。对于用户来说,该屏幕与向真实地址汇款的屏幕完全相同,但它是一封伪造的电子邮件,实际上并未向UNICEF汇款。要实际捐赠给联合国儿童基金会,您可以在联合国儿童基金会的官方网站上进行。

这对发送了欺骗链接的任何人都可能具有危险。埃利·格雷(Eli Gray)向贝宝(PayPal)透露了此事,并被告知这不是一个错误,而是一种社交工程骗局,旨在欺诈。这告诉我们PayPal认为这不会解决问题。我们认为,将这个问题搁置一旁是很危险的,因为用欺骗性链接欺骗普通用户非常容易。一个简单的解决方法是显示所有付款将发送到的电子邮件地址,而不只是名称。

此设计缺陷还影响许多其他邮件应用程序。它会影响macOS上的默认邮件应用程序,Android上的许多电子邮件应用程序(如Outlook),三星电子邮件应用程序和Gmail。这些应用受同一收件人欺骗设计漏洞的影响。谷歌在5月修复了这个特殊的缺陷 。

希望PayPal和其他受影响的应用程序可以解决此问题。设计缺陷广泛存在且易于利用。我们希望传播此信息,以便用户意识到他们可能点击了欺骗链接。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。