Een Britse onderzoeker heeft een manier ontdekt om via de inlogpagina van Google gebruikers willekeurige bestanden, zoals malware te laten downloaden, of ze naar willekeurige websites zoals een phishingpagina door te sturen. Google is echter niet van plan om het probleem op te lossen.

Volgens onderzoeker Aidan Woods accepteert de inlogpagina van Google een kwetsbare GET-parameter genaamd "continue=[link]". De enige vereiste die aan deze parameter wordt gesteld is dat de opgegeven link naar een subdomein op Google.com wijst. Het soort opgegeven Google-dienst wordt echter niet gecontroleerd. Zo is het bijvoorbeeld mogelijk om een bestand op Google Drive in de parameter te specificeren die de gebruiker automatisch downloadt. De gebruiker moet in dit geval nog wel zelf het bestand uitvoeren. Een andere mogelijkheid is het gebruik van een 'open redirect', waarbij een gebruiker na het inloggen naar een andere website wordt doorgestuurd, bijvoorbeeld een phishingpagina die stelt dat de vorige inlogpoging niet succesvol was.

Om de aanval te misbruiken zou een aanvaller naar een doelwit een link naar de echte Google-inlogpagina moeten sturen, voorzien van een kwaadaardige parameter. De gebruiker zit in dit geval op de echte Google-pagina, maar zal na het inloggen worden doorgestuurd of bij het openen van de inloglink een bestand downloaden. In het geval van de download blijft de gebruiker op de Google-inlogpagina, aldus Woods. De gebruiker zou zo kunnen denken dat het om een bestand van Google zelf gaat. In een reactie stelt Google dat het hier een phishingaanval betreft en het maatregelen heeft om dit soort aanvallen te detecteren en het gebruikers hier ook voor waarschuwt. Volgens Google is er dan ook geen sprake van een beveiligingslek dat moet worden opgelost.