Casa-medegrondlegger Jameson Lopp heeft gewaarschuwd voor een phishingcampagne die valse e-mails aflevert via Google's eigen systemen, waarbij misbruik wordt gemaakt van de infrastructuur van het bedrijf om de berichten echt te laten lijken.

Cryptohouders lopen het grootste risico door dit trucje, dat berust op namaak-loginpagina's die zijn ontworpen om wachtwoorden en andere gevoelige gegevens te stelen.

Een scam-e-mail verstuurd vanuit Google zelf

In een donderdag gepubliceerd bericht op X zei Lopp dat de campagne een nieuwe versie is van een oude oplichting die momenteel actief is. Hij voegde een screenshot van de frauduleuze e-mail toe, waaruit bleek dat deze via Google's echte servers was verstuurd.

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

Volgens het bericht wordt iedereen die op de link in het bericht klikt, doorgestuurd naar een nep-loginpagina.

Het is niet de eerste keer dat Lopp misbruik van Google's systemen aan de kaak stelt. In mei wees hij op een oplichting die misbruik maakte van Google's formulier voor accountherstel, waarbij de aanvaller een zeer lang bericht in het formulier invulde, met bovenaan een melding die echt leek en de scam-link ver daaronder, na een grote hoeveelheid lege ruimte. De waarschuwing bij het huidige incident kwam eveneens via Google's echte accountsystemen. Samen laten deze gevallen zien dat aanvallende partijen oplichting herhaaldelijk routeren via legitieme Google-functies in plaats van de identiteit van het bedrijf te vervalsen, wat de meest gebruikelijke manier waarop ontvangers beoordelen of een e-mail echt is, ondermijnt.

Check Point documenteerde een vergelijkbare campagne

Beveiligingsbedrijf Check Point (NASDAQ: CHKP) ontdekte een campagne die misbruik maakte van de "Send Email"-functie in Google Cloud's Application Integration-tool. Over een periode van twee weken in december 2025 verstuurden aanvallers 9.394 e-mails naar zo'n 3.200 organisaties. Omdat de berichten afkomstig waren van een echt Google-adres, noreply-application-integration@google.com, slaagden ze voor DMARC- en SPF-controles, die normaal gesproken aan ontvangende mailservers signaleren dat een bericht authentiek is. DMARC en SPF zijn de industriestandaard-protocollen waarmee e-mailproviders bevestigen dat een bericht daadwerkelijk afkomstig is van het domein in het afzenderadres, dus een goede uitslag op beide weegt zwaar bij spamfilters en ontvangers.

Ontvangers die op de links klikten, werden eerst via meerdere vertrouwde Google-webadressen gerouteerd. Vervolgens kwamen ze op een nep-CAPTCHA-pagina die automatische beveiligingsscanners moest tegenhouden, voordat ze uitkwamen op een valse Microsoft-loginpagina (NASDAQ: MSFT) die niet door Microsoft werd gehost.

Google (NASDAQ: GOOGL) vertelde onderzoekers dat het de campagnes had geblokkeerd en zei dat het probleem voortkwam uit misbruik van een automatiseringstool in plaats van een inbraak in haar systemen. Vergelijkbare oplichting zou volgens berichten ook zijn uitgevoerd via Google Meet, DoubleClick, Google Analytics en andere diensten. Het terugkerende patroon betekent dat een bericht op elk technisch signaal legitiem kan lijken en toch naar een kwaadaardige pagina kan leiden, ook al houdt Google vol dat zijn eigen systemen niet zijn geschaad.

Waarom cryptohouders zo vaak worden aangevallen

Gebruikers van cryptocurrencybeurzen en portemonfohouder worden als bijzonder kwetsbaar beschouwd, omdat nep-loginpagina's kunnen worden gebruikt om wachtwoorden, sessiegegevens of twee-factor-authenticatiecodes te bemachtigen. De inzet is ook structureel hoger dan in de traditionele financiële wereld: een frauduleuze overdracht van cryptogelden is doorgaans onomkeerbaar zodra deze on-chain is bevestigd, waardoor er na het stelen van inloggegevens weinig ruimte voor herstel is.

De waarschuwing volgt op een apart incident dat deze week door Cryptopolitan werd gemeld, waarin oplichters gelekte API-sleutels van Cloudflare (NYSE: NET) gebruikten om e-mails te versturen vanaf Foundation's eigen domeinen. Sommige ontvangers zeiden dat de berichten die ze ontvingen legitieme persoonlijke gegevens bevatten, waaronder hun namen, adressen en eerdere Passport-aankopen. Foundation heeft de sleutels inmiddels ingetrokken en gezegd dat de fondsen op zijn apparaten veilig zijn.

Breder gezegd: Binance zei in het eerste kwartaal van 2026 22,9 miljoen scam- en phishingpogingen te hebben geblokkeerd, een stijging van 54% ten opzichte van het voorgaande kwartaal, en dat het ongeveer $1,98 miljard aan gebruikersgeld heeft beschermd — een tempo dat aangeeft dat phishing een van de hardnekkigste aanvalsvectoren van de sector blijft, zelfs nu individuele campagnes worden neergehaald.