Pagini false Google Meet fură parolele Google și codurile 2FA

Două domenii care imită Google au fost găsite găzduind pagini false Google Meet, create pentru a colecta parolele conturilor Google și codurile de verificare unică (2FA) care le protejează. Campania a fost semnalată public pe 19–20 octombrie 2026, iar unul dintre site-uri își expune chiar propria configurație de backend oricărui vizitator.

Ce s-a întâmplat

Paginile folosesc identitatea vizuală și limbajul invitațiilor Google Meet, astfel încât o cerere de autentificare pare ceva obișnuit. Victima care urmează linkul vede ce pare a fi o pagină normală de login Google și i se cer parola, apoi un cod 2FA.

Cele două domenii raportate sunt:

• meet-google[.]cyou
• qooglo[.]com (atenție la „q” și „o” puse în locul lui „g” și „e”)

Niciunul nu are legătură cu Google; singura adresă legitimă a serviciului este meet.google.com.

Separat, infrastructura atacatorilor pare neglijent configurată: o pagină /install ar afișa setările de conectare la baza de date, cu parola deja completată. Valoarea parolei nu a fost publicată și nu există confirmare publică că cineva ar fi folosit-o.

Ce nu se știe încă: cum sunt atrase victimele către aceste pagini, dacă kitul transmite datele către Google în timp real (adversary-in-the-middle) sau doar le stochează și dacă există conturi confirmate ca fiind compromise. Nu au fost publicate mostre de malware, adrese IP sau hash-uri și nu există dovezi care să lege campania de operațiuni anterioare cu pagini Meet false, precum cele de tip ClickFix.

De ce contează

Linkurile Google Meet apar constant în calendarele de serviciu, la cursuri și în conversații personale, așa că o pagină de întâlnire rareori stârnește suspiciuni. Iar un cont Google înseamnă mult mai mult decât e-mail: documente în Drive, contacte, parole salvate și aplicații de business conectate. O parolă furată plus un cod 2FA proaspăt, folosite rapid, pot fi suficiente pentru preluarea contului și pentru trimiterea de mesaje credibile către contactele victimei.

Ce trebuie făcut

Pentru utilizatori

• Deschideți Meet tastând meet.google.com sau intrând dintr-o invitație de calendar de încredere — nu dintr-un link neașteptat.
• Citiți întregul domeniu înainte de autentificare. Lacătul din browser arată doar că legătura este criptată, nu că site-ul aparține Google.
• Treceți la autentificare rezistentă la phishing: passkeys sau chei de securitate hardware. Codurile prin SMS sau aplicație pot fi furate; passkey-urile sunt legate de domeniul real.
• Dacă este posibil să fi introdus date: schimbați parola Google din pagina oficială a contului, verificați Securitate → Activitate recentă de securitate, deconectați dispozitivele necunoscute și schimbați parola oriunde ați refolosit-o.

Pentru organizații

• Blocați meet-google[.]cyou și qooglo[.]com la nivel de DNS, proxy și gateway de e-mail.
• Căutați în logurile de proxy și web aceste căi: /meet, /install, /assets/js/demo.js, /api/demo/sessions, /api/demo/sessions/{token}, /api/demo/sessions/{token}/resend. O potrivire este un punct de plecare pentru investigație, nu o dovadă de compromitere.
• Analizați logurile de autentificare Google Workspace pentru locații neobișnuite, dispozitive noi și permisiuni OAuth suspecte și impuneți chei de securitate sau passkeys pentru administratori și utilizatorii cu risc ridicat.
• Includeți linkurile Meet false în următoarea instruire de conștientizare a securității pentru angajați.

Credențialele furate prin phishing rareori rămân într-un singur loc — sunt revândute, distribuite și refolosite. Serviciul nostru de monitorizare Deep/Dark Web urmărește apariția conturilor organizației dumneavoastră în baze de date cu credențiale scurse și pe piețele infracționale, astfel încât o parolă furată de o astfel de pagină să poată fi resetată înainte de a fi folosită împotriva dumneavoastră.

Indicatori de compromitere

Domeniile sunt „dezactivate” ([.]) intenționat — reactivați-le doar în instrumente controlate, precum SIEM-ul sau platforma de threat intelligence.

Sursă: articol publicat de Cyber Security News; indicatorii au fost distribuiți inițial de cercetătorul în securitate Anurag (@Malwarehunterr).