Alerta de segurança | Nova técnica de phishing usa domínio do Google para enganar usuários do gmail

Uma nova e sofisticada técnica de phishing está colocando milhões de usuários do Gmail em risco, mesmo com os avançados protocolos de segurança implementados pelo Google. O alerta veio após um relato publicado na rede social X, que expôs uma vulnerabilidade crítica na infraestrutura da própria empresa.

O especialista em tecnologia e usuário identificado como nick.eth (@nicksdjohnson) revelou ter sido vítima de um ataque de phishing altamente sofisticado. O incidente ocorreu no último dia 15 de abril, quando ele recebeu um e-mail vindo do endereço no-reply@google.com — um remetente que passou por verificações de segurança, incluindo a assinatura DKIM, que atesta a autenticidade do domínio.

O e-mail solicitava que Nick enviasse uma cópia do conteúdo de sua conta do Google. Ao clicar no link fornecido, ele foi redirecionado para um suposto “portal de suporte” que utilizava o domínio sites.google.com — o que imediatamente conferia aparência legítima ao site.

No entanto, tratava-se de uma armadilha. A página exibia uma interface de login idêntica à do Google, projetada especificamente para capturar as credenciais do usuário.

Vulnerabilidade nas ferramentas do Google é o ponto de entrada

Nick identificou duas falhas graves no sistema do Google que possibilitaram o golpe:

1. Uso indevido do domínio sites.google.com – A plataforma permite que qualquer pessoa hospede conteúdo personalizado sob o subdomínio do Google, facilitando a criação de páginas falsas com aparência legítima.
2. E-mail com remetente validado – O endereço aparentemente autêntico no-reply@google.com passou por todos os testes de autenticação, incluindo DKIM, o que dificultou a detecção do golpe.

Após perceber o ataque, Nick enviou um relatório à Google, que já confirmou estar investigando o caso e trabalhando para aplicar os devidos reparos no sistema.

Especialistas alertam: “Cuidado redobrado ao clicar em e-mails”

Enquanto a vulnerabilidade não for corrigida, especialistas recomendam atenção máxima. Mesmo mensagens que aparentam ser legítimas — com remetentes verificados e aparência profissional — podem esconder ameaças sérias.

Estamos lidando com um tipo de phishing mais perigoso, que aproveita a confiança dos usuários na própria marca Google. É essencial sempre verificar os links e evitar fornecer informações confidenciais sem plena certeza da autenticidade do site, alerta Luana Carvalho, analista de segurança cibernética.

Embora o Gmail conte com múltiplas camadas de proteção, como autenticação em dois fatores e filtros inteligentes contra spam e phishing, a criatividade dos cibercriminosos segue evoluindo. Esse novo golpe mostra como até mesmo ferramentas robustas podem ser exploradas.

Como se proteger de golpes como este

Para minimizar os riscos de ataques como esse, seguem algumas orientações práticas:

• Nunca clique em links suspeitos, mesmo que venham de remetentes conhecidos.
• Verifique a URL completa antes de inserir qualquer dado em formulários.
• Habilite a autenticação em dois fatores em sua conta Google.
• Reporte e-mails suspeitos diretamente à Google por meio da função “Denunciar phishing”.

Expectativa por resposta oficial do Google

Até o momento, a Google ainda não emitiu um comunicado público detalhado sobre o caso. Espera-se que a empresa revele em breve medidas preventivas adicionais e uma atualização de segurança que bloqueie o uso malicioso do sites.google.com.

Enquanto isso, permanece o alerta: a confiança cega em sistemas automatizados de verificação pode ser explorada — e o melhor antivírus ainda é o bom senso do usuário.