Хакери използват фалшиви страници на Google Meet за кражба на идентификационни данни за Google

Два уебсайта хостват фалшиви страници на Google Meet, създадени с цел кражба на потребителски данни за профили в Google и извършване на фишинг атаки с прихващане на двуфакторна автентикация (2FA), според разузнавателни данни за заплахи, споделени на 20 октомври 2026 г.

Страниците имитират познатата услуга за онлайн срещи, за да направят искането за въвеждане на данни за профила по-достоверно. Изследователят съобщава и за сериозен проблем със сигурността при публично достъпна страница /install: тя разкрива конфигурационна информация за базата данни и предварително попълнена парола за нея.

Източникът не разкрива самата парола. Анализаторите посочват, че този случай подчертава риск, надхвърлящ обикновената наподобяваща страница за вход. Ако даден потребител въведе парола или код за потвърждение във фалшив сайт, киберпрестъпниците могат да използват тези данни в опит да получат достъп до профила му.

Наличният доклад не предоставя пълно описание на дизайна на страницата, начина, по който жертвите достигат до нея, нито дали има потвърдени откраднати профили.

Анураг (@Malwarehunterr) идентифицира и описа кампанията в публикация, описваща двата домейна, компрометираната инсталационна страница и свързаните уеб пътища.

Хакери използват фалшиви страници на Google Meet

Google Meet се използва широко за работни срещи, учебни часове и лични разговори, поради което страница, наподобяваща връзка за среща, може да не предизвика незабавно подозрение.

Двата домейна, докладвани в този случай, са meet-google[.]cyou и qooglo[.]com. Имената им наподобяват термини, свързани с Google, но нито един от тях не е автентичният домейн meet.google.com.

Потребителите трябва да проверяват пълния адрес на уебсайта, преди да въведат парола, дори когато страницата използва познати лога или терминология за срещи.

Публикацията на изследователя описва страниците като проектирани за кражба на данни за вход в Google и улесняване на фишинг срещу 2FA. В нея не са описани точните стъпки в процеса на вход, нито се пояснява дали сайтът препраща данните за автентикация в реално време.

По принцип откраднатата парола излага профила на риск, а прихванатият код за потвърждение носи допълнителна опасност, ако престъпниците го използват бързо.

Google съветва потребителите да избират по-сигурни опции за верификация, като хардуерни ключове за сигурност или известия за вход от Google (Google prompts), и подчертава, че ключовете за достъп (passkeys) са проектирани да бъдат устойчиви на фишинг.

Това е от съществено значение, тъй като профилът може да съдържа много повече от просто електронна поща. В зависимост от настройките на потребителя и свързаните услуги, неоторизираният достъп може да разкрие документи, контакти, запазена информация или корпоративни данни.

Успешното влизане в профила може също така да помогне на нападателя да изпраща достоверно изглеждащи съобщения от името на жертвата. Google препоръчва преглед на скорошните събития по сигурността и свързаните устройства при съмнение за неоторизиран достъп. За повече контекст относно това как атакуващите могат да атакуват процеса на вход и автентикация в Google, читателите могат да се запознаят с този доклад за фишинг инструментариум за профили в Google.

Откритата инсталационна страница поражда допълнително притеснение

Докладваната страница /install добавя втори проблем към риска от кражба на идентификационни данни. Според публикацията посещението на този път разкрива конфигурацията на базата данни и предварително попълнена парола за нея.

Подобна информация може да помогне на неоторизиран посетител да разбере как е изградена бекенд архитектурата на сайта. Докладът не уточнява дали разкритите данни са били използвани за достъп до базата данни, а самата парола не е включена в източника.

Лошо конфигурирана инсталационна страница не бива да бъде публично достъпна с попълнена чувствителна информация. Администраторите на сайтове трябва да ограничат достъпа до пътищата за инсталация и настройка, да премахнат служебните или предварително въведени пароли и да проверят дали показаните на страницата идентификационни данни са все още валидни.

Ако те са валидни, следва незабавно да бъдат променени, а всички системи, които ги използват — щателно проверени. Това са практически защитни стъпки на база описаното изтичане на данни; наличният доклад не потвърждава какви мерки са предприели собствениците на сайта.

Докладът посочва и списък с уеб пътища, свързани с кампанията: /meet, /assets/js/demo.js, /api/demo/sessions, /api/demo/sessions/{token} и /api/demo/sessions/{token}/resend.

Тези пътища могат да помогнат на специалистите по киберзащита при търсене в съответните уеб логове, но наличието на даден път сам по себе си не доказва компрометиране на система или потребител. Източникът не предоставя примерен файл, име на зловреден софтуер, IP адрес или криптографски хеш.

Имитирането на популярни услуги остава често срещан похват при фишинг атаките. Cybersecurity News вече е докладвал за фишинг процес за вход в Gmail, насочен към извличане на потребителски данни, както и за фалшиви страници на Google Forms, използвани за събиране на идентификационни данни.

Отделна кампания използва фалшива страница на Meet за прокарване на зловредна команда вместо просто искане за парола, както е описано в този доклад за атаката Google Meet ClickFix. Тези доклади описват различни кампании и не бива да се разглеждат като доказателство, че зад тях стоят едни и същи извършители.

Потребителите трябва да отварят Google Meet чрез директно въвеждане на официалния му адрес или чрез доверена покана в календара, вместо да въвеждат данните си през неочаквана страница.

Проверявайте внимателно пълния домейн: символът с катинар или наличието на HTTPS връзка означава единствено, че връзката е криптирана, а не че сайтът принадлежи на Google. Не въвеждайте парола или 2FA код след преминаване през непозната връзка.

Всеки, който е въвел идентификационните си данни, трябва незабавно да смени паролата си за Google през официалната страница на профила, да прегледа скорошните събития по сигурността и да прекрати непознатите сесии или устройства.

Ако паролата е била преизползвана за други услуги, сменете я и там. Указанията на Google обясняват как да защитите компрометиран профил и да прегледате активността по него. Организациите също така трябва да проверят логовете си за автентикация за съмнителен достъп и да предупредят служителите си за докладваните домейни и пътища.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните умишлено са обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или превръщане в хипервръзки. Възстановете ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.