Theo thông tin từ PANews ngày 17 tháng 4, dựa trên báo cáo của Bitcoin.com, Nick Johnson - nhà phát triển chính của ENS đã tiết lộ một vụ tấn công Phishing tinh vi, khai thác lỗ hổng bảo mật trong hệ thống của Google, đặc biệt là lỗ hổng OAuth gần đây đã được sửa chữa. Theo mô tả của Johnson, kẻ tấn công trước tiên gửi email lừa đảo có vẻ như từ bộ phận pháp lý của Google, tuyên bố rằng tài khoản của người nhận liên quan đến điều tra trát hầu tòa. Những email này có chữ ký số DKIM thực sự và được gửi từ tên miền chính thức no-reply của Google, do đó dễ dàng vượt qua bộ lọc thư rác của Gmail. Johnson chỉ ra rằng độ tin cậy của âm mưu này đã tăng lên đáng kể do một liên kết siêu văn bản đến cổng hỗ trợ ngụy tạo trên sites.google.com. Trang đăng nhập Google giả mạo này đã phơi bày hai lỗ hổng bảo mật lớn: thứ nhất, nền tảng Google Sites cho phép thực thi tập lệnh tùy ý, cho phép tội phạm tạo ra các trang để đánh cắp thông tin đăng nhập; thứ hai, giao thức OAuth bản thân nó có khuyết điểm.
Johnson lên án Google ban đầu coi lỗ hổng này là "phù hợp với thiết kế" và nhấn mạnh rằng lỗ hổng này tạo ra mối đe dọa nghiêm trọng. Tồi tệ hơn nữa, cổng ngụy tạo sử dụng tên miền đáng tin cậy sites.google.com làm vỏ bọc, làm giảm đáng kể cảnh giác của người dùng. Ngoài ra, cơ chế báo cáo lạm dụng của Google Sites không hoàn thiện, dẫn đến việc các trang bất hợp pháp khó bị đóng lại kịp thời. Dưới áp lực của công chúng, Google cuối cùng đã thừa nhận vấn đề. Johnson sau đó xác nhận rằng Google có kế hoạch sửa chữa các khuyết điểm của giao thức OAuth. Các chuyên gia an ninh khuyến cáo người dùng phải cảnh giác, hoài nghi với bất kỳ tài liệu pháp lý bất ngờ nào và kiểm tra kỹ tính xác thực của địa chỉ URL trước khi nhập thông tin đăng nhập.
