AdSense de Google es un sistema para que cualquier editor de sitios web pueda publicar en sus páginas anuncios Goooooooogle, ganando dinero gracias a ellos. Actualmente está muy extendido y la mayoría de los portales que cumplen con su política lo utilizan. Pues bien parece ser que que se ha detectado una vulnerabilidad que permite “fácilmente” a un usuario malintencionado acceder a todos tus datos sin que tú ni lo huelas. Eso al menos es lo que se asegura desde Webpanto
A parte de tener acceso a las cuentas y ver las ganancias, se podría ver los datos de la cuenta, con domicilio nombre del titular, y cabría la posibilidad de que el usuario mal intencionado cambiara estos datos pudiéndose perder los pagos ya que se envían a la dirección que figura en la cuenta.
Para que el dueño de una página pueda ofrecer este servicio, es necesario que se registre como usuario a través de https://www.google.com/adsense.
Su página, aun protegida por SSL, sufre de una vulnerabilidad que puede ser aprovechada para llevar a cabo ataques de tipo phishing de una forma ridículamente sencilla.
Google Adsense permite a los dueños de las páginas mostrar en sus webs publicidad no invasiva relacionada con el perfil del visitante y proporcionada por Google. Es una vía inteligente de rentabilizar las visitas, pues los usuarios prefieren la publicidad que no molesta y además se adecua a sus necesidades o inquietudes.
Los responsables de las páginas que muestren este tipo de anuncios, deben darse de alta como usuarios en https://www.google.com/adsense, una página que, aun protegida por el protocolo SSL (se aprecia en la «s» de https) que se supone garantiza el cifrado de los datos, sufre de un problema de validación de páginas no existentes. Esto brinda la oportunidad a cualquiera de inyectar código en la URL que simule una página válida y desviar los datos al servidor de un tercero de una forma trivial.
La víctima burlada apenas podrá distinguir nada extraño en la barra del navegador puesto que en ella aparecerá la dirección legítima https://www.google.com/adsense y si comprueba el certificado de seguridad será completamente válido porque, a diferencia de otros ataques de este tipo, la página en realidad es interpretada por el propio servidor real de Google.
El fallo es un típico problema de «Cross Site Scripting» que permite la interpretación de código HTML en la barra de direcciones del navegador y ha sido descubierto por Hugo Vázquez de Infohacking, quien ya advirtiera sobre diversos fallos de seguridad de este tipo en el sistema de reservas de vuelos de Iberia, los proxy-caché de Telefónica y otras importantes organizaciones.
La vulnerabilidad se revelo originalmente en este artículo de infohacking. El propio enviador también en su bitácora.