Сооснователь Casa Джеймсон Лопп предупредил о фишинговой кампании, в рамках которой поддельные письма рассылаются через собственные системы Google с злоупотреблением инфраструктурой компании, чтобы сообщения выглядели подлинными.

Наибольшему риску эта схема подвергает держателей криптовалют: она опирается на поддельные страницы входа, созданные для кражи паролей и других конфиденциальных данных.

Фишинговое письмо от самой Google

В опубликованном в четверг посте в X Лопп сообщил, что кампания представляет собой новую версию старой схемы, действующей в настоящий момент. Он приложил скриншот мошеннического письма, показав, что оно было отправлено через реальные серверы Google.

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) 29 октября 2026 г.

Согласно посту, каждый, кто нажмет на ссылку в письме, попадает на фишинговую страницу входа.

Это не первый случай, когда Лопп указывает на злоупотребление системами Google. В мае он рассказал о схеме со злоупотреблением формой восстановления аккаунта Google, в которой злоумышленник ввел в форму очень длинное сообщение: уведомление, выглядевшее достоверно, находилось вверху, а мошенническая ссылка — далеко внизу, после большого пустого пространства. В текущем инциденте предупреждение также пришло через реальные аккаунт-системы Google. Вместе эти эпизоды показывают, что злоумышленники регулярно проводят мошеннические рассылки через легитимные функции Google, а не подделывают идентификацию компании, что обесценивает самый распространенный способ оценки подлинности письма получателем.

Check Point зафиксировала аналогичную кампанию

Компания в области безопасности Check Point (NASDAQ: CHKP) выявила кампанию, злоупотреблявшую функцией «Send Email» в инструменте Application Integration Google Cloud. За две недели в декабре 2025 года злоумышленники отправили 9 394 письма примерно 3 200 организациям. Поскольку сообщения исходили с подлинного адреса Google, noreply-application-integration@google.com, они прошли проверки DMARC и SPF, которые обычно сигнализируют получающим почтовым серверам о подлинности сообщения. DMARC и SPF — отраслевые стандартные протоколы, с помощью которых почтовые провайдеры подтверждают, что сообщение действительно исходит из домена, указанного в адресе отправителя, поэтому успешное прохождение обеих проверок имеет значительный вес как для спам-фильтров, так и для получателей.

Получатели, нажавшие на ссылки, сначала перенаправлялись через несколько доверенных веб-адресов Google. Затем им показывалась поддельная страница CAPTCHA, предназначенная для остановки автоматических сканеров безопасности, после чего они попадали на поддельную страницу входа Microsoft (NASDAQ: MSFT), не размещенную Microsoft.

Google (NASDAQ: GOOGL) сообщил исследователям, что заблокировал кампании, указав, что проблема связана со злоупотреблением инструментом автоматизации, а не со взломом его систем. По имеющимся данным, аналогичные схемы осуществлялись также через Google Meet, DoubleClick, Google Analytics и другие сервисы. Повторяющийся шаблон означает, что сообщение может выглядеть легитимным по всем техническим признакам и при этом вести на враждебную страницу, даже если Google утверждает, что его системы не были скомпрометированы.

Почему держатели криптовалют часто становятся целями

Пользователи криптовалютных бирж и держатели кошельков считаются особенно уязвимыми, поскольку поддельные страницы входа могут использоваться для перехвата паролей, данных сессий или кодов двухфакторной аутентификации. Ставки здесь также структурно выше, чем в традиционных финансах: мошеннический перевод криптовалюты, как правило, необратим после подтверждения в блокчейне, что оставляет мало возможностей для восстановления средств после кражи учетных данных.

Это предупреждение последовало за отдельным инцидентом, о котором на этой неделе сообщал Cryptopolitan: мошенники использовали утекшие API-ключи Cloudflare (NYSE: NET) для рассылки писем с доменов самой Foundation. Некоторые получатели заявили, что в мошеннических письмах содержались подлинные личные данные, включая имена, адреса и сведения о прошлых покупках в Passport. Foundation с тех пор отозвала ключи и сообщила, что средства на ее устройствах в безопасности.

В более широком контексте Binance сообщила, что заблокировала 22,9 млн попыток мошенничества и фишинга в первом квартале 2026 года — на 54% больше, чем в предыдущем квартале, — и защитила около 1,98 млрд долларов средств пользователей; такие темпы указывают, что фишинг остается одним из самых устойчивых векторов атак в отрасли, даже если отдельные кампании блокируются.