
All’inizio di quest’anno, Gmail ha iniziato a implementare segni di spunta blu per identificare i mittenti attendibili. I truffatori hanno rapidamente trovato un modo per mascherare le e-mail di spam come verificate, che Google ha affermato di aver risolto, ma il problema sembra essere ancora presente.
Aggiornamento, 28/06/23: Google ha risposto alla nostra richiesta e ha indicato, dopo aver esaminato la questione, che l’e-mail era autentica e inviata da un malintenzionato con accesso al sistema Stripe. Aggiorneremo questa nota se avremo notizie da Stripe e sosteniamo che l’approccio migliore alla sicurezza è fidarsi ma verificare tutte le comunicazioni che ricevi.
A maggio, Gmail ha iniziato a mostrare segni di spunta blu accanto ai mittenti verificati in modo che fosse più facile capire se un messaggio era legittimo o meno. Ad esempio, se hai ricevuto una conferma di spedizione da UPS e hai visto il segno di spunta blu, sapresti che proveniva dal vero UPS e non da un truffatore. Sfortunatamente, i truffatori hanno trovato rapidamente un modo per aggirare il sistema e Gmail mostrava il simbolo verificato sulle e-mail di phishing.
Google ha detto 9to5Google che il problema si basava su una vulnerabilità di sicurezza di terze parti e, entro la fine della prima settimana di giugno, la società richiederà l’autenticazione DomainKeys Identified Mail (DKIM) dai mittenti per mostrare il segno di spunta. Ciò avrebbe dovuto impedire alle e-mail false di mostrare simboli verificati, ma potrebbe comunque essere un problema.
Una persona che lavora presso How-To Geek ha ricevuto un’e-mail che sembrava provenire da Stripe, con il logo Stripe, il dominio Web Stripe e il segno di spunta da Gmail visibili nelle informazioni del mittente.
Tuttavia, il messaggio per un acquisto di Ethereum non è avvenuto e contiene anche riferimenti a PayPal. Stripe e PayPal non sono collegati in alcun modo, tranne per il fatto che sono entrambi processori di pagamento. Anche il numero di supporto per PayPal nel messaggio (che abbiamo offuscato) non è il numero ufficiale elencato sul sito di supporto di PayPal. È un’e-mail abbastanza convincente di per sé e il simbolo verificato di Gmail aggiunge più credibilità.
Non è chiaro se si tratti di una vulnerabilità del sistema di messaggistica di Stripe (come le truffe sulle fatture comuni con PayPal lo scorso anno) o se il messaggio sia stato inviato da un truffatore e sia passato inosservato al filtro di verifica di Gmail. Abbiamo contattato Google e Stripe per un commento e aggiorneremo questo articolo quando o se riceveremo una risposta. Nel frattempo, assicurati di ricontrollare le possibili e-mail di truffa, anche se Gmail le ha contrassegnate come affidabili.