Bijna 1 miljoen Gmail-gebruikers zijn getroffen door de phishingaanval van afgelopen week, zo heeft Google bekendgemaakt. Nog onbekende aanvallers verstuurden een phishingmail die van Google afkomstig leek en claimde dat iemand een document met de ontvanger via Google Docs wilde delen.

Als gebruikers de link in het berichten openden kregen ze de vraag of ze een applicatie genaamd "Google Docs" toegang tot hun Google-account wilden gegeven. Verleende de gebruiker deze toestemming, dan werd zijn adresboek gebruikt om de phishingmail naar zijn contacten te versturen. Volgens Google werd minder dan 0,1 procent van de Gmail-gebruikers slachtoffer van de aanval.

Vorig jaar februari maakte Google bekend dat het 1 miljard Gmail-gebruikers had. Dat zou inhouden dat zo'n 1 miljoen Gmail-gebruikers slachtoffer van de aanval werden, aldus The Next Web. Na ongeveer een uur werd de aanval gestopt. Google laat weten dat de aanval van contactgegevens gebruikmaakte, maar er verder geen andere data is blootgesteld.

Om toegang tot de accounts te krijgen maakte de aanval gebruik van de authenticatiestandaard OAuth. Dit is een manier om derde partijen toegang tot de accounts van gebruikers te geven, zonder dat gebruikers hierbij hun wachtwoord hoeven af te staan. De derde partij krijgt in dit geval een token waarmee hij toegang tot het account krijgt. Aanvallers kunnen hier echter ook misbruik van maken. Eind 2011 waarschuwde onderzoeker André DeMarre al dat aanvallers een kwaadaardige app konden maken die zich "Google" noemt en via OAuth toegang tot het account van de gebruiker kon krijgen.

Een paar maanden later in 2012 besloot hij Google te waarschuwen, zo meldt de onderzoeker op Hacker News. Naar eigen zeggen kreeg hij een bescheiden beloning voor zijn melding. Google liet de onderzoeker een aantal maanden later weten dat het maatregelen zou uitrollen om dit soort aanvallen tegen te gaan. De internetgigant was echter niet van plan om te controleren dat de opgegeven naam met de url overeenkwam. Iets wat de onderzoeker wel adviseerde.