Grave falha no Gmail permite roubo de dados

Conforme alertou o especialista em descoberta de falhas, que se apresenta como Petko Petkov, as contas do Gmail podem ser facilmente invadidas, permitindo que mensagens arquivadas e até futuros e-mails sejam encaminhados para a caixa de entrada do invasor.

A falha, baptizada de «cross-site request forgery» (CSRF), foi revelada na terça-feira por Petkov, que actua no Reino Unido, fazendo testes de vulnerabilidades na web. Nas últimas duas semanas, o especialista revelou bugs que ainda não haviam sido corrigidos no Quick Time, da Apple, no Windows Media Player, da Microsoft, e no formato Portable Document Format (PDF), da Adobe.

Petkov não revelou detalhes sobre a falha no Gmail, mas afirmou que invasores podem usar a ferramenta de filtragem do sistema de mensagens eletrónicas do Google para explorar o bug.

Na prática, segundo ele, o invasor conseguiria o acesso fazendo a vítima visitar um web site malicioso enquanto estivesse na sua conta no Gmail. O site fraudulento iniciaria um comando HTML usado para upload de arquivos chamado «multipart/form-date POST» para injectar um filtro falso na conta de Gmail da vítima.

Até ao momento, o Google não confirmou se foi informado sobre a falha ou quando solucionaria o problema.