Gmail-gebruikers ontvingen spam van zichzelf

De website Mashable heeft gisteren als eerste melding gemaakt van de vreemde spamberichten. Het opduiken in de Verzonden-map deed denken dat er sprake van succesvol hacking was. Zelfs nadat geschrokken gebruikers hun wachtwoorden hadden aangepast, kwamen de spamberichten nog altijd binnen in de Verzonden-map. Ook bij een redacteur van Mashable die two-factor authencatie had ingesteld om zijn Gmail-account beter te beschermen tegen toegang door onbevoegden.

Een woordvoerder van Google laat aan Mashable weten dat er inderdaad sprake is van een spamcampagne, en stelt dat dit een klein aantal Gmail-gebruikers treft. Het gaat om spoofing waarbij de header en verzender van het bericht zijn aangepast. “Deze spampoging omvatte vervalste e-mailheaders waardoor het leek alsof gebruikers e-mails van zichzelf ontvingen, dat leidde er ook toe dat die berichten ten onrechte in de map Verzonden terechtkwamen. We hebben al deze e-mails geherclassificeerd als spam. We hebben geen reden aan te nemen dat accounts in gevaar zijn geweest”, zegt het bedrijf in de verklaring.

Spoofing

Veel van de mails lijken door de headervervalsing te komen via mailservers van Telus.com. Dit Canadese telecombedrijf laat in een verklaring weten dat het op de hoogte is van dit gebeuren, maar dat de mails niet via het bedrijf verstuurd zijn. Er wordt met een externe partij naar een oplossing gezocht.

Spoofing komt nog steeds op grote schaal voor. Eind vorig jaar bleek nog dat spoofing van afzenderadressen mogelijk is dankzij een e-mailtechnologie die stamt uit 1992. Security-onderzoeker Sabri Haddouche zocht een verzameling kwetsbaarheden uit en bevond daarbij 33 mailclients kwetsbaar. Hij noemde de exploitverzameling die hij vond MailSplot. De basis voor deze nieuwe vorm van mailspoofing is een oude, haast antieke e-mailtechnologie.

Truc uit 1992

“De truc zit in het gebruik van RFC-1342 (uit 1992!)”, legt Haddouche uit op de site voor zijn security-ontdekking. Deze RFC (Request For Comments) is een manier om non-ASCII karakters te coderen in de headers van e-mailberichten. Dit gebeurt dan op een dusdanige manier dat deze vreemde tekens niet de berichtenverwerking door mailservers verstoort." Volgens hem doen de meeste e-mailclients en webinterfaces voor webmail niet aan correcte opschoning van de string na het decoderen, wat deze e-mailspoofingaanval mogelijk maakt.