Google-Passwortsafe durch Vault-Jacking-Angriff mit nur einer PIN kompromittiert

Dies ist kein theoretisches Risiko, sondern eine vollständig demonstrierte, end-to-end-Angriffsmethode, die die Art und Weise ausnutzt, wie Google Credentials über Geräte hinweg synchronisiert. Der Angriff zielt auf eine Funktion ab, der die meisten Nutzer uneingeschränkt vertrauen: die Cross-Device-Synchronisation örtern bei Google.

Wenn ein Opfer dazu gebracht wird, seinen GPM-PIN auf einer gefälschten Anmeldeseite einzugeben, wird dieses einzelne Credential zum Master-Schlüssel für den gesamten synchronisierten Vault. Jeder Login bei Drittanbietern, jeder gespeicherte Passkey und jedes gespeicherte Credential steht dem Angreifer, der im Hintergrund operiert, sofort zur Verfügung.

Forscher ändige VaultJacking-Technik identifiziert und dokumentiert und dabei dargelegt, wie sie in den PhishU-Gegner-Simulationsrahmen integriert ist. Google Password Manager PIN-Aufforderungsseite (Quelle – Phishu). In einem Bericht, der