“Google Tasks” Bildirişləri ilə Təhlükəsizlik Şlüzlərini Keçən Fişinq Kampaniyası: 3000-dən Çox Təşkilat Hədəfdə

## Giriş

Kiber təhlükəsizlik mütəxəssisləri, ənənəvi email mühafizə mexanizmlərini fundamental şəkildə sarsıdan yeni və yüksək səviyyəli fişinq kampaniyasının aktivləşdiyini aşkarlayıblar. 2025-ci ilin dekabrında aşkarlanan bu hücum dalğası, domen saxtakarlığı (spoofing) və ya başlığı təhrif etməyə əsaslanan köhnə metodlardan fərqli olaraq, hücumçuların Google-un qanuni infrastrukturundan sui-istifadə etmələri ilə xarakterizə olunur. Kampaniya çərçivəsində, əsasən istehsalat sektoru daxil olmaqla, dünya üzrə 3000-dən çox təşkilat hədəf alınıb.

Hücumun əsas təhlükəsi ondadır ki, göndərilən fişinq emailləri Google-un etibarlı ünvanlarından (məsələn, `[email protected]`) gəldiyi üçün bütün əsas email autentifikasiya protokollarından (SPF, DKIM, DMARC və CompAuth) uğurla keçə bilmişdir. Bu, ənənəvi şlüzlərin göndəricinin reputasiyasına və domen etibarlılığına əsaslanan süzgəclərini tamamilə yararsız hala salır.

## Texniki Detallar

Hücumçular bu mürəkkəb fişinq hücumunu icra etmək üçün Google Tasks bildirişlərini imitasiya ediblər. Hədəfə alınan istifadəçilərə “Bütün İşçilər Üçün Tapşırıq” (All Employees Task) adlı təcili işçi yoxlaması tələb edən email göndərilib.

**Hücumun icra mexanizmi aşağıdakı addımlardan ibarətdir:**

1. **Qanuni Google Servisindən Sui-İstifadə:** Hücumçular Google-un Application Integration xidmətindən istifadə edərək emailləri Google-un yüksək reputasiyalı infrastrukturundan göndərməyi bacarıblar. Bu, onların universal ağ siyahıya daxil edilməsini (allowlisting) təmin edir.
2. **Təhlükəsizlik Protokollarının Keçilməsi:** Göndəricinin Google olması səbəbindən, SPF, DKIM və DMARC yoxlamaları müvəffəqiyyətlə keçirilir, ənənəvi təhlükəsizlik alətləri tərəfindən heç bir şübhəli əlamət aşkar edilmir.
3. **Manipulyativ Interfeys:** Fişinq emailləri Google Tasks interfeysini yüksək dəqiqliklə təqlid edir, tanış UI elementlərini, legitim altbilgi mətnlərini və fəaliyyətə çağıran düymələri ehtiva edir.
4. **Zərərli Yüklənmənin Yeri:** İstifadəçilərə “Tapşırığa bax” (View task) və ya “Tamamlandı kimi qeyd et” (Mark complete) düymələrini basmaq təklif olunur. Bu düymələr qurbanları Google Cloud Storage (storage.cloud.google.com) üzərində yerləşdirilmiş zərərli səhifələrə yönləndirir. URL-lərin Google-un öz domenlərində yerləşməsi, URL reputasiyasına əsaslanan aşkarlama sistemlərini də təsirsiz edir.
5. **Psixoloji Tətikləyicilərin Tətbiqi:** Mesajlarda səlahiyyət (authority framing), təcililik (urgency indicators) və minimal izahat kimi psixoloji tətikləyicilərdən istifadə olunur ki, bu da qurbanları məzmunu dərindən araşdırmadan dərhal hərəkət etməyə sövq edir.

## Təhlükənin Miqyası

Təhlükəsizlik şirkəti RavenMail tərəfindən aşkar edilən bu kampaniya, kiber təhlükəsizlik dünyasında geniş bir tendensiyanın əlamətidir. Tədqiqatçılar oxşar kampaniyaların əvvəllər Google Classroom, Google Forms və AppSheet kimi digər etibarlı platformalardan istifadə edilərək etibarnamələrin toplanması üçün istifadə olunduğunu sənədləşdiriblər.

RavenMail ənənəvi domen reputasiyasına deyil, **kontekstual uyğunsuzluqlara** əsaslanaraq kampaniyanı aşkarlaya bilmişdir. Şirkət müəyyən edib ki, HR yoxlaması məqsədilə Google Tasks istifadə edilməsi anomaldır və Cloud Storage URL-lərinin qanuni Google Tasks iş axınları ilə uyğunsuzluq təşkil edir.

Ekspertlər bu cür sui-istifadənin yalnız Google ilə məhdudlaşmadığı barədə xəbərdarlıq edirlər. Hücumçular getdikcə **Salesforce** və **Amazon SES** daxil olmaqla digər etibarlı platformaları da hədəf alır. Bu, infrastruktur səviyyəli saxtakarlıqdan iş axını sui-istifadəsinə (workflow abuse) doğru kritik bir keçidi göstərir.

## Tövsiyələr və Həll Yolları

Təşkilatlar ənənəvi autentifikasiya siqnallarından kənara çıxaraq email təhlükəsizliyi yanaşmalarını yenidən nəzərdən keçirməlidirlər:

1. **Qabaqcıl Kontekstual Analiz:** Təhlükəsizlik həlləri yalnız göndəricinin etibarlılığını deyil, həm də mesajın məzmununu, əlaqələndirilmiş URL-in növünü və onların təşkilatın normal iş axınına uyğunluğunu analiz etməlidir.
2. **İşçi Təlimi (Awareness Training):** İşçilərə təcili əmr və ya səlahiyyət tələbləri ehtiva edən, lakin əslində Google daxili tətbiqlərindən gələn mesajlara qarşı kritik düşüncə tərzinin inkişaf etdirilməsi zəruridir. Hətta qanuni domenlərdə yerləşən linklərə şübhə ilə yanaşmaq öyrədilməlidir.
3. **Çoxfaktorlu Autentifikasiya (MFA) və Parolsuz Mexanizmlər:** Hətta fişinq nəticəsində etibarnamələr ələ keçirilsə belə, kiberhücumçuların sistemə girişini məhdudlaşdırmaq üçün MFA-nın geniş tətbiqi həyati əhəmiyyət daşıyır.
4. **Domain/Xidmət Siyasətlərinin Sərtləşdirilməsi:** Google Cloud Storage kimi xidmətlərin sənədləşmə və paylaşma siyasətləri minimum etimad (Zero Trust) prinsipinə uyğun olaraq sərtləşdirilməlidir.

## Nəticə

Google Tasks bildirişləri vasitəsilə həyata keçirilən bu fişinq kampaniyası, kiber təhlükəsizlik mənzərəsində paradiqma dəyişikliyini əks etdirir. Hücumçular infrastruktur səviyyəsindəki müdafiə xətlərini keçmək üçün etibarlı servislərin qanuni funksiyalarından istifadə edirlər. Bu yeni təhdid modeli, təşkilatlardan təhlükəsizlik strategiyalarını yenidən qiymətləndirməyi və texniki yoxlamalardan əlavə, istifadəçi davranışı və kontekstual anomaliyaların aşkarlanmasına investisiya qoymağı tələb edir.