miércoles, febrero 24, 2010

Google ¿haciendo negocio con el phishing?

Ayer en Barcelona, mientras tenía lugar el Security Day 2010 en Barcelona, me hizo gracia el resultado de una de las demos. La idea es que, en la sesión dedicada a la seguridad en los sistemas de correo, se envía un correo spoofeado con lo servicios de Enviar a un amigo haciendo un ejemplo de Phishing sobre Gmail. Por supuesto, el dominio elegido con SPF -all, para que Gmail se comporte como ya vimos que se comporta.

En este caso, aprovechando que estabamos en Barcelona, decidí hacerlo con La Caixa que tiene perfectamente configurado el registro SPF, no como otros, para ver el resultado, y esto es lo obtenido.


Figura 1: Configuración SPF -all de La Caixa


Figura 2: Phishing de La Caixa en el inbox con Ads de La Caixa

No sólo el correo entra, como era esperado, en el inbox y sin alerta, sino que además, Gmail se lee el correo de phishing, escrito en un "perfecto" castellano y detecta que ese correo tiene que ver con Banca y con La Caixa para poner los anuncios patrocinados de la derecha...y promocionar La Caixa. Esto de que estes patrocinando tu propio ataque de Phishing no deja de ser una paradoja muy divertida. En lugar de quejarte porque no te bloquea los correos que no pasen el filtro SPF -all les patrocinas. A mi me maravilla.

Es sabido hace mucho tiempo que Google lee el correo para ponerte la publicidad, pero a muchos parece no importarles e incluso lo recomiendan para trabajos corporativos y administración pública...

Por supuesto, como Google le cobra a La Caixa por clic en ad, no hice clic en el anuncio. Yo ya soy cliente de La Caixa y no necesito que me vendan lo que ya he comprado a costa de que paguen más a Google, pero... entre lo que les cobren por los ads y entre lo que les roben a los clientes porque Gmail no bloquee los correos que no pasan los filtros SPF -all, a la banca le sale por un pico esta relación, ¿no?

Saludos Malignos!

11 comentarios:

Samurai Blanco dijo...

Hola Chema.
Para ti cuál es el servicio de correo gratuito más seguro y por qué?...

No caería mal que nos dijeras cuál piensas que es el peor ;)

Chema Alonso dijo...

@Samurai Blanco, es sabido que yo uso OWA como cuenta personal };) Pero sobre la detección de correos falsos escribí un artículo.

http://elladodelmal.blogspot.com/2009/06/correos-falseados-en-yahoocom-gmailcom.html

Saludos!

Anónimo dijo...

Es difícil estar siempre al lado del mal... cuando hay tantos "males"
XD

Samurai Blanco dijo...

Gracias mi apreciado amigo¡¡¡¡
Voy a leer tus artículos al respecto.
Hasta pronto.

Estepario dijo...

Genial todo el Security Day 2010 de Barcelona, esta demo en particular me hizo gracia por lo absurdo del resultado. Excelente el evento se mire por donde se mire.

Por cierto, por vuestra culpa me acosté a las tantas leyendo... no me extraña que por poco me quedara sin el libro de Juan Luis, es muy recomendable.

Seifreed dijo...

Hola

Sin duda eso fué increíble, aunque más increíble fue el video...
Grandes charlas maestro ;)

Un saludo

Exarch dijo...

Genial el evento chema... y genial tambien lo de gmail. Saludos!

Alex Millà dijo...

Buenas Chema.

Ayer estuve en el Security Day (es lo que tiene trabajar en el edifcio de al lado de donde se celebraba) y me pareció fantástico el ejemplo que utilizaste con el falseamiento de e-mails, aparte que por tu parte la forma de explicarlo me pareció bastante más divertido y fácil de entender.

Desde ahora espero seguir más a menudo tu blog ya que me parece super interesante.

Saludos. :)

ShadowChild dijo...

Voy a contratar un ads para mi scam asi tengo doble de posibilidad (?).

No se te pasa una Chema.

Anónimo dijo...

Has visto ahora el registro TXT del dns de _spf.google.com?

"v=spf1 ip4:216.239.32.0/19 ip4:64.233.160.0/19 ip4:66.249.80.0/20 ip4:7
2.14.192.0/18 ip4:209.85.128.0/17 ip4:66.102.0.0/20 ip4:74.125.0.0/16 ip4:64.18.
0.0/20 ip4:207.126.144.0/20 ip4:173.194.0.0/16 ?all"

Parece que escucharon la conferencia como yo... jejejje

Saludos desde Megacracks Chema

Xavi dijo...

Hola Chema,

Muy buena tu intervencion de gmail en el Security Day.

Pero vaya coñazo de powerpoints nos metieron el resto de ponentes. A exepcion de la demostracion de como configurar una VPN que fue tambien un coñazo, esta sin muho powerpoint, pero un coñazo.

En el las butacas del primer piso, en el que gozabamos de mas libertad, solo se oia lo de "que peñazo de charlas las de este año".

un saludo!

Entrada destacada

10 maneras de sacarle el jugo a tu cuenta de @MyPublicInbox si eres un Perfil Público

Cuando doy una charla a algún amigo, conocido, o a un grupo de personas que quieren conocer MyPublicInbox , siempre se acaban sorprendiendo ...

Entradas populares