Współzałożyciel Casa, Jameson Lopp, ostrzegł przed kampanią phishingową, która dostarcza fałszywe wiadomości za pośrednictwem własnych systemów Google, wykorzystując infrastrukturę firmy, aby nadać wiadomościom pozory autentyczności.

Posiadacze kryptowalut są najbardziej narażeni na ten schemat, który wykorzystuje fałszywe strony logowania zaprojektowane do kradzieży haseł i innych wrażliwych danych.

Wiadomość phishingowa wysłana bezpośrednio z Google

W opublikowanym w czwartek poście na X Lopp powiedział, że kampania jest nową wersją starego oszustwa, które obecnie trwa. Dołączył zrzut ekranu fałszywej wiadomości, pokazujący, że została ona wysłana przez rzeczywiste serwery Google.

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

Zgodnie z treścią posta każdy, kto kliknie link znajdujący się w wiadomości, zostanie przekierowany na phishingową stronę logowania.

To nie pierwszy raz, gdy Lopp sygnalizuje nadużycie systemów Google. W maju zwrócił uwagę na oszustwo wykorzystujące formularz odzyskiwania konta Google. Atakujący umieścił w formularzu bardzo długą wiadomość, pozostawiając u góry powiadomienie wyglądające autentycznie, a link do oszustwa umieszczając znacznie niżej, po dużej ilości pustego miejsca. Ostrzeżenie w obecnym incydencie również dotarło za pośrednictwem rzeczywistych systemów kont Google. Łącznie przypadki te pokazują, że atakujący wielokrotnie kierują oszustwa przez legalne funkcje Google, zamiast fałszować tożsamość firmy, co osłabia najczęstszy sposób, w jaki odbiorcy oceniają, czy wiadomość jest prawdziwa.

Check Point udokumentował podobną kampanię

Firma zajmująca się cyberbezpieczeństwem Check Point (NASDAQ: CHKP) wykryła kampanię, która wykorzystywała funkcję „Send Email” w narzędziu Application Integration w Google Cloud. W ciągu dwóch tygodni w grudniu 2025 roku atakujący wysłali 9 394 wiadomości do około 3 200 organizacji. Ponieważ wiadomości pochodziły z prawdziwego adresu Google, noreply-application-integration@google.com, przeszły kontrole DMARC i SPF, które zwykle sygnalizują serwerom pocztowym odbiorców, że wiadomość jest autentyczna. DMARC i SPF to standardowe w branży protokoły używane przez dostawców poczty do potwierdzania, że wiadomość rzeczywiście pochodzi z domeny wskazanej w adresie nadawcy. Dlatego pozytywne przejście obu kontroli ma duże znaczenie zarówno dla filtrów antyspamowych, jak i odbiorców.

Odbiorcy, którzy kliknęli linki, byli najpierw przekierowywani przez kilka zaufanych adresów internetowych Google. Następnie trafiali na fałszywą stronę CAPTCHA zaprojektowaną w celu zatrzymania automatycznych skanerów bezpieczeństwa, a później na fałszywą stronę logowania Microsoftu (NASDAQ: MSFT), która nie była hostowana przez Microsoft.

Google (NASDAQ: GOOGL) poinformował badaczy, że zablokował kampanie, twierdząc, że problem wynikał z niewłaściwego wykorzystania narzędzia automatyzacji, a nie z włamania do jego systemów. Podobne oszustwa miały być przeprowadzane za pośrednictwem Google Meet, DoubleClick, Google Analytics i innych usług. Powtarzający się schemat oznacza, że wiadomość może wyglądać wiarygodnie pod każdym względem technicznym, a mimo to prowadzić do złośliwej strony, choć Google utrzymuje, że jego własne systemy nie zostały przełamane.

Dlaczego posiadacze kryptowalut są tak często celem ataków

Użytkownicy giełd kryptowalut i posiadacze portfeli są szczególnie narażeni, ponieważ fałszywe strony logowania mogą służyć do przechwytywania haseł, danych sesji lub kodów uwierzytelniania dwuskładnikowego. Stawka jest również z natury wyższa niż w tradycyjnych finansach: nieuczciwy transfer środków w kryptowalutach jest zazwyczaj nieodwracalny po potwierdzeniu w blockchainie, co pozostawia niewielkie możliwości odzyskania środków po kradzieży danych uwierzytelniających.

Ostrzeżenie pojawiło się po odrębnym incydencie opisanym w tym tygodniu przez Cryptopolitan, w którym oszuści wykorzystali wyciekłe klucze API Cloudflare (NYSE: NET) do wysyłania wiadomości z własnych domen Foundation. Niektórzy odbiorcy twierdzili, że otrzymane wiadomości zawierały prawdziwe dane osobowe, w tym ich imiona i nazwiska, adresy oraz informacje o wcześniejszych zakupach Passport. Foundation unieważniła później klucze i poinformowała, że środki na jej urządzeniach są bezpieczne.

Szerzej rzecz ujmując, Binance poinformował, że w pierwszym kwartale 2026 roku zablokował 22,9 mln prób oszustw i phishingu, czyli o 54% więcej niż w poprzednim kwartale, oraz że ochroną objął około 1,98 mld USD środków użytkowników — tempo wskazujące, że phishing pozostaje jednym z najbardziej uporczywych wektorów ataków w branży, nawet gdy poszczególne kampanie są zamykane.