Google Gadgets, vecteurs potentiels de phishing ?

Pour rappel, les Google Gadgets sont de petites applications que les webmestres peuvent utiliser pour les intégrer sur leurs sites Internet. Ainsi, des données météorologiques ou les derniers résultats sportifs peuvent être affichés de manière automatique sur leurs pages Web.

Malheureusement, ces dernières peuvent être utilisées par des personnes malveillantes, ces dernières pouvant créer une page Web frauduleuse rattachée au nom de domaine gmodules.com puis envoyer l'adresse Internet à un nombre considérable d'internautes. Puisque l'adresse gmodules.com est considérée comme sûre par les filtres anti-phishing, le site Internet malicieux peut ainsi facilement passer à travers les mailles du filet et être considéré comme une adresse de confiance par l'internaute crédule.

Robert Hansen, chercheur en sécurité informatique, critique régulier de Google, a indiqué être persuadé des risques d'une attaque de type phishing ( hameçonnage ) via les adresses gmodules.com. Il a déclaré avoir alerté l'équipe des développeurs de Google d'un trou de sécurité XSS ( cross site scripting, fait d'injecter du code arbitraire dans une application Web à des fins malveillantes ) mais se dit non satisfait de leur réponse. La firme de Mountain View estimerait en effet qu'il ne s'agit pas d'une brèche mais du fonctionnement normal du site Web qui ne demande pas de vérification des fichiers mis en ligne à cette adresse.

Selon Hansen, Google devrait au contraire s'assurer de ce que les internautes mettent en ligne à cette adresse afin d'éviter de faciliter la tâche aux cyber-escrocs. " Si ils ne touchent à rien, je vous garantis que ce sera utilisé pour une attaque informatique ", a t-il prévenu sur son billet, relayé par InfoWorld.