Μια εξελιγμένη εκστρατεία phishing έχει αναδυθεί, στοχεύοντας οργανισμούς που χρησιμοποιούν Google Workspace, μέσω απατηλών emails που προσποιούνται την πλατφόρμα AppSheet της Google.
Η επίθεση αποδεικνύει πώς οι κυβερνοεγκληματίες εκμεταλλεύονται νόμιμες υπηρεσίες cloud για να παρακάμψουν τα παραδοσιακά μέτρα ασφαλείας email και να κλέψουν διαπιστευτήρια χρηστών.
Η καμπάνια ανακαλύφθηκε τον Σεπτέμβριο του 2025 και αντιπροσωπεύει μια σημαντική βελτίωση στις τακτικές κοινωνικής μηχανικής, αξιοποιώντας την έμφυτη εμπιστοσύνη που οι οργανισμοί δείχνουν στην πλατφόρμα της Google.
Κατάχρηση Google AppSheet για phishing επιθέσεις
Η κακόβουλη εκστρατεία εκμεταλλεύεται την ευρεία υιοθέτηση του ΑppSheet από επιχειρήσεις και την βαθιά ενσωμάτωσή του με την υποδομή του Google Workspace. Προσποιούμενοι νόμιμες επικοινωνίες του ΑppSheet, οι επιτιθέμενοι καταφέρνουν να παρακάμψουν τα πρωτόκολλα αυθεντικοποίησης email, ενώ παραδίδουν πειστικές ειδοποιήσεις παραβίασης εμπορικού σήματος σε ανυποψίαστους παραλήπτες. Η αποτελεσματικότητα της επίθεσης προέρχεται από την κατάχρηση αυθεντικής υποδομής της Google, καθιστώντας την ανίχνευση εξαιρετικά δύσκολη για τα συμβατικά συστήματα ασφαλείας.
Δείτε επίσης: Κινέζικη APT ομάδα αναπτύσσει το EggStreme Fileless Malware
Αυτή η επιχείρηση phishing ακολουθεί ένα μοτίβο κατάχρησης νόμιμων υπηρεσιών που οι ερευνητές ασφαλείας έχουν παρακολουθήσει από τον Μάρτιο του 2025, όταν παρόμοιες εκστρατείες εκμεταλλεύτηκαν το AppSheet για να προσποιηθούν υπηρεσίες της Meta και του PayPal. Οι αναλυτές της Raven εντόπισαν την τρέχουσα εκστρατεία ως εξέλιξη αυτών των προηγούμενων τακτικών, σημειώνοντας πως οι επιτιθέμενοι έχουν βελτιώσει την προσέγγισή τους για να μεγιστοποιήσουν τα ποσοστά επιτυχίας συλλογής διαπιστευτηρίων διατηρώντας ταυτόχρονα την επιχειρησιακή ασφάλεια.
Η πιο ανησυχητική πτυχή της phishing εκστρατείας έγκειται στην τεχνική της πολυπλοκότητα και τις δυνατότητες παράκαμψης αυθεντικοποίησης. Σε αντίθεση με τις παραδοσιακές επιθέσεις phishing που βασίζονται σε παραβιασμένα ή πλαστά domains, αυτή η επιχείρηση αξιοποιεί την αυθεντική υποδομή email της Google για να παραδώσει κακόβουλο περιεχόμενο. Τα μηνύματα προέρχονται από το [noreply@appsheet.com], εξασφαλίζοντας τέλεια αυθεντικοποίηση SPF, DKIM και DMARC.
Η επίθεση εκμεταλλεύεται τη νόμιμη λειτουργικότητα email του AppSheet μέσω πολλαπλών πιθανών διαύλων. Οι επιτιθέμενοι είτε παραβιάζουν υπάρχοντες λογαριασμούς χρηστών στην πλατφόρμα είτε καταχρώνται τα συστήματα ειδοποιήσεων της υπηρεσίας για να δημιουργήσουν μηνύματα που φαίνεται να έχουν παραχθεί από την υποδομή της Google.
Τα phishing emails περιέχουν επαγγελματικά διαμορφωμένο περιεχόμενο που μιμείται ειδοποιήσεις επιβολής εμπορικού σήματος, με επείγουσες νομικές απαιτήσεις συμμόρφωσης σχεδιασμένες για να προκαλέσουν την άμεση δράση των χρηστών.
Κρίσιμη για την επιτυχία της εκστρατείας είναι η χρήση ύποπτων URL shorteners, ιδιαίτερα των domains goo.su, που ανακατευθύνουν τα θύματα σε ιστότοπους συλλογής διαπιστευτηρίων. Αυτοί οι συντομευμένοι σύνδεσμοι είναι ενσωματωμένοι σε κατά τα άλλα νόμιμες ειδοποιήσεις νομικού περιεχομένου, δημιουργώντας ένα πειστικό πρόσχημα για αλληλεπίδραση χρηστών.
Δείτε επίσης: Η ομάδα Lazarus εκμεταλλεύεται ευπάθεια symlink του Git
Οι επιτιθέμενοι στρατηγικά φιλοξενούν την υποδομή phishing τους σε αξιόπιστες πλατφόρμες όπως το Vercel, ενισχύοντας περαιτέρω την αξιοπιστία και τις δυνατότητες αποφυγής της επιχείρησης. Η ανίχνευση αποδεικνύεται δύσκολη επειδή τα emails περνούν όλους τους παραδοσιακούς ελέγχους αυθεντικοποίησης ενώ φαίνονται κατάλληλα (contextually) για τους παραλήπτες που είναι εξοικειωμένοι με τις συνήθεις επικοινωνίες του ΑppSheet.
Αυτός ο συνδυασμός τεχνικής νομιμότητας και πολύπλοκης κοινωνικής μηχανικής υπογραμμίζει την επείγουσα ανάγκη για λύσεις ασφαλείας email που αναλύουν τις σχέσεις αποστολέα-περιεχομένου αντί να βασίζονται αποκλειστικά σε πρωτόκολλα αυθεντικοποίησης. Η εκστρατεία υπογραμμίζει πώς οι νόμιμες υπηρεσίες cloud μπορούν να γίνουν όπλα επιθέσεων, αναγκάζοντας τους οργανισμούς να επανεξετάσουν θεμελιώδεις υποθέσεις σχετικά με τις αξιόπιστες επικοινωνίες σε επιχειρηματικά περιβάλλοντα.
Δείτε επίσης: Κρίσιμη ευπάθεια στο Amp’ed RF BT-AP 111 Bluetooth Access Point
🔑 Ασφαλίστε τους κωδικούς σας με Proton Pass
Password manager από την Proton — end-to-end κρυπτογράφηση, passkeys, ενσωματωμένο 2FA και παρακολούθηση για διαρροές των στοιχείων σας.
- ✔ Κρυπτογραφημένη αποθήκευση κωδικών & passkeys
- ✔ Ειδοποίηση αν κάποιος κωδικός σας διέρρευσε (Dark Web Monitoring)
- ✔ Δωρεάν έκδοση — σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η νέα καμπάνια phishing που αξιοποιεί το AppSheet αποκαλύπτει ένα ανησυχητικό μοτίβο: οι κυβερνοεγκληματίες δεν χρειάζεται να κατασκευάζουν ψεύτικες υποδομές, αλλά μπορούν να καμουφλάρονται μέσα σε απολύτως νόμιμες πλατφόρμες. Αυτό σημαίνει ότι οι κλασικές άμυνες, όπως SPF ή DMARC, χάνουν την αποτελεσματικότητά τους, αφήνοντας τα θύματα εκτεθειμένα. Για τις επιχειρήσεις, το ζήτημα δεν είναι αν ένα email φαίνεται «τεχνικά έγκυρο», αλλά αν το περιεχόμενο ταιριάζει με την πραγματική επιχειρησιακή δραστηριότητα. Η εξέλιξη αυτή δείχνει πως η προστασία δεν μπορεί να βασίζεται μόνο σε φίλτρα και αυτοματισμούς∙ απαιτείται εκπαίδευση προσωπικού, πολυεπίπεδη παρακολούθηση και επένδυση σε λύσεις που εντοπίζουν ύποπτες αλληλεπιδράσεις πέρα από το προφανές.
