Criminelen hebben Googles e-mailverificatie omzeild voor het aanmaken van malafide Google Workspace-accounts, om vervolgens in te loggen bij andere diensten die 'Sign in with Google' aanbieden. Gebruikers ontvingen twee weken geleden dit bericht van Google waarin het techbedrijf liet weten dat het een 'kleinschalige' campagne had ontdekt waarbij criminelen de e-mailverificatiestap bij het aanmaken van geverifieerde Google Workspace-accounts via een 'speciaal geconstrueerd request' hadden omzeild.

Via het malafide Google Workspace-account konden de aanvallers daarna inloggen op third-party applicaties die de inlogoptie 'Sign in with Google' bieden. Google zegt dat het probleem 72 uur na ontdekking van het probleem werd verholpen. Uit de melding die de getroffen gebruiker deelde blijkt dat aanvallers het malafide Workspace-account gebruikten om op het Dropbox-account van deze gebruiker in te loggen. De gebruiker in kwestie dacht dat Googles melding in eerste instantie een phishingaanval was.

Tegenover it-journalist Brian Krebs laat Google weten dat er een 'paar duizend' malafide Workspace-accounts zijn aangemaakt, zonder dat daarbij de domeinhouder werd geverifieerd. Google Workspace biedt een gratis probeerversie waarmee gebruikers toegang kunnen krijgen tot diensten zoals Google Docs. Andere diensten zoals Gmail zijn alleen beschikbaar voor Workspace-gebruikers die kunnen aantonen dat ze controle over de domeinnaam hebben die aan hun e-mailadres is gekoppeld.

Door het beveiligingsprobleem konden aanvallers deze controle omzeilen. Google stelt dat de getroffen domeinen waarvoor de Workspace-accounts waren aangemaakt niet eerder aan Workspace-accounts of -diensten waren gekoppeld. "De aanvalsvector hier is dat ze een e-mailadres gebruikten om in te loggen, en een compleet ander e-mailadres om een token te verifiëren. Zodra ze e-mail geverifieerd waren, zagen we dat ze in sommige gevallen op third-party diensten inlogden door middel van Google single sign-on", aldus Google.