サイバーセキュリティ研究者はブログで、ユーザーがURLをフォローするためにGoogleによってリダイレクトされたときに、Google Meetセッション中に問題が発生すると述べています。Google はこれらの URL をオープンリダイレクトに変換し、ユーザーを別のウェブサイトに誘導します。今、このウェブサイトは、そのブリッジングリンクを開発した人によって選択されます。このリンクが Google Meet 経由で個人用メッセージに投稿されると、Google Meet リンクとして表示され、最終的にユーザーは希望の URL に移動します。
ショーン・ライトは、ユーザーが非常に素朴に行動する理由の1つは、リンクが有効かどうかを判断するためにURLの最初の部分だけを見るからだと言います。今、サイバー犯罪者も時間とともに進化し、戦術が本当に賢くなっています。だから、彼らが行うことは、彼らが最初の部分を作るか、URLの始まりが完全に正当に見えるようにするということです。たとえば、meet.google.com。
しかし、ドメイン名にはURLが偽物であるという手がかりが含まれているかもしれませんが、ユーザーがこれを実現する前に、またはそれについて考える時間を取る前に、それらの大半はすでにリンクをクリックして偽のGoogleログインページにリダイレクトされます。
これらのユーザーがフィッシングの標的になるリスクを高めるもう1つのことは、Google Meetセッション中に生成されるリンクが少なくとも認証を必要とするかもしれないとユーザーが考えているということです。しかし、Googleはこのプロセスに対して2要素認証を提供しておらず、生成されたリンクをクリックするだけで完全にアクセスできます。
サイバー犯罪者は、この脆弱性を使用してリダイレクトURLを隠し、切り捨てられる可能性があり、この種の攻撃はショーン・ライトに従って検出することは非常に困難です。
しかし、Googleはそれを大きな問題とは考えていない。ユーザーはナビゲーションが行われている間にアドレスバーを調べることなく、リンク上のマウスホバーツールチップを信頼することができるので、この議論は、リダイレクタがサイバー犯罪者を助けることができることは正しくないと考えています.Google によると、これらのツールヒントは信頼できるセキュリティ指標ではありません。彼らはさまざまな方法で欠陥がある可能性があり、同社は疑わしい活動を検出してユーザーに警告できる技術に多額の投資を行っている理由です。
Googleは、リダイレクターリンクが適切に構築されていない場合、深刻な結果につながる可能性があることを理解していますが、全体的に、同社はChromeブラウザのセーフブラウジングサイトステータスツールが、ユーザーが不審なサイトにアクセスするのを防ぐために非常に効果的であると確信しています。
