Představte si situaci: Sedíte u počítače, otevřete si e-mail a vidíte zprávu od no-reply@google.com. Žádné varování, žádné známky nebezpečí. Vypadá to jako běžné bezpečnostní upozornění, prostě něco, co už jste obdrželi mnohokrát. Jenže tenhle e-mail je jiný. Informuje vás o údajném právním problému, že vaše data jsou součástí nějakého vyšetřování, že byla vydána soudní obsílka.
A najednou vám začne tepat srdce. Co když je to pravda? Co když jste něco přehlédli? Kliknete. A přesně v ten moment začíná problém.
The first thing to note is that this is a valid, signed email – it really was sent from no-reply@google.com. It passes the DKIM signature check, and GMail displays it without any warnings – it even puts it in the same conversation as other, legitimate security alerts. pic.twitter.com/GxlFR6ccLG
— nick.eth (@nicksdjohnson) April 16, 2025
Stránka vypadá jako originál. Ale je to past
Odkaz vás zavede na web hostovaný na sites.google.com – tedy na službě, kterou skutečně provozuje Google. Stránka vypadá důvěryhodně. Přihlašovací formulář, logo, barvy, všechno sedí. Ale místo zabezpečeného přihlášení na accounts.google.com právě posíláte své údaje podvodníkům.
Zadáte e-mail, heslo, možná i kód z dvoufázového ověření. A to je vše, právě jste někomu dobrovolně odevzdali klíče ke svému účtu.
⚠️ Even Google-signed emails can be fake.
Hackers just pulled off a DKIM replay attack using Google’s own systems — and the phishing email passed all verification checks. pic.twitter.com/Lmo43SpvgM
— EFANI Secure Cellphone Service (@efani) April 21, 2025
Tenhle útok není běžný spam. Neprochází přes žádné neznámé servery v Rusku nebo Číně. Přichází z legitimní domény Google. A právě to ho činí extrémně nebezpečným. Útočníci využívají Google nástroje, jako je třeba služba Sites k tomu, aby vytvořili přesvědčivou iluzi bezpečnosti. Gmail zprávu nerozpozná jako hrozbu, protože technicky vzato nejde o falešnou zprávu. Jen o zneužití služby, kterou denně používají miliardy lidí.
Mohlo by vás zajímat
Co dělat, když takový e-mail dostanete?
- Neklikejte na žádné odkazy, které vás mají „rychle přihlásit“ kvůli problému s účtem.
- Nepanikařte. Soudní výzvy se neposílají e-mailem bez ověření vaší identity.
- Zapněte dvoufázové ověření, ideálně ne přes SMS, ale přes ověřovací aplikaci nebo bezpečnostní klíč.
- Zkontrolujte historii přihlášení do svého Google účtu. Najdete ji v nastavení zabezpečení.
Společnost Google už v reakci na útok provedla bezpečnostní úpravy, které by měly podobným praktikám zabránit. Přesto varuje: útočníci se stále vyvíjejí, zneužívají lidskou psychologii, strach a zmatek, takže si dávejte pozor na jakoukoliv formu podvodu.
