Zraniteľnosť Gemini v Gmaili umožňuje odosielať podvodné webové stránky a telefónne čísla.
Google stavia na svoj umelý inteligenčný systém Gemini, ktorý implementuje do rôznych aplikácií svojho ekosystému, ako je Gmail. Umelá inteligencia sa snaží zlepšiť používateľský zážitok poskytovaním súhrnov e-mailov. Nedávny objav odborníka na kyberbezpečnosť však ukazuje, že Gemini má zraniteľnosť, ktorá môže vystaviť používateľov Gmailu riziku zo strany kyberzločincov.
Milióny spoločností využívajú službu Google Workspace na prístup k prémiovým verziám Gmailu, Kalendára, Disku, Meet a ďalších. Toto predplatné poskytuje funkcie umelej inteligencie, ktoré urýchľujú prácu zamestnancov, ale odborníci na kybernetickú bezpečnosť zistili, že funkcia súhrnu e-mailov umožňuje hackerom skryť phishingové príkazy.
Ako uvádza 0DIN v príspevku zverejnenom 10. júla 2025, útočníci môžu túto zraniteľnosť využiť na čítanie našich správ bez nutnosti kliknúť na odkaz alebo otvoriť prílohy. Odborník na kybernetickú bezpečnosť vysvetľuje, že útok spočíva vo vloženie HTML a CSS do e-mailov.
Kyberzločinci skryjú kód umiestnením bieleho textu na bielom pozadí alebo použitím nulovej veľkosti písma, ale Gemini ho spracuje pri vytváraní súhrnov. V publikácii 0DIN je podrobne opísané, že umelá inteligencia rozpozná tento vložený kód ako falošné varovanie pochádzajúce od samotného Google. Keď používatelia použijú funkciu „Súhrn tohto elektronického kódu v Gmaili“, Gemini zobrazí podvodnú správu.
Umelá inteligencia Google vyzýva používateľa, aby zavolal na falošné číslo technickej podpory alebo navštívil phishingovú stránku. Keďže e-mail vyzerá neškodne, bezpečnostní výskumníci poukazujú na to, že používatelia pravdepodobne nebudú podozrievať podvod.
Gemini sa stáva spolupáchateľom podvodu
Tradičné pokusy o phishing zvyčajne obsahujú odkazy na škodlivé webové stránky alebo súbory obsahujúce škodlivý softvér. E-maily využívajúce zraniteľnosť Gemini však vyzerajú úplne normálne a neobsahujú nič podozrivé, čo by mohlo používateľa znervózniť.
Používateľa oklame umelá inteligencia Gemini, ktorá funguje ako „spolupáchateľ“ útočníkov a interpretuje skrytý kód. To znamená, že práve umelá inteligencia generuje súhrn, ktorý odporúča zavolať na číslo alebo prejsť na odkaz. Keďže tento nástroj je teoreticky bezpečný, zamestnanci mu dôverujú a riadia sa odporúčaniami Gemini. Preto je potrebné byť opatrný a nevenovať pozornosť takýmto pokynom. Jedným zo spôsobov, ako to zistiť, je označiť celý text a skontrolovať, či neobsahuje skrytý kód, ako je znázornené na obrázku nižšie.
Výskumník v oblasti kybernetickej bezpečnosti, ktorého objav bol uverejnený na 0DIN, varuje, že interpretácia vstavaného kódu HTML a CSS Gemini môže presiahnuť rámec Gmailu. Hoci to bolo objavené vo funkcii súhrnu e-mailov, mohlo to byť použité aj v Dokumentoch, Prezentáciách a Diskoch, ktoré majú inteligentné funkcie umelej inteligencie. Odborníci odporúčajú byť opatrní s týmto automatizovaným phishingom v ekosystéme Workspace, kým Google tento problém nevyrieši.
Google pracuje na riešení
Google uznáva, že v Gemini existuje problém, ktorý umožňuje kyberzločincom využívať jeho súhrny v Gmaili na zavedenie Gemini. Predstaviteľ spoločnosti informoval BleepingComputer, že tím pracuje na ochrane proti tomuto druhu podvodných praktík:
„Neustále posilňujeme naše už aj tak spoľahlivé bezpečnostné opatrenia prostredníctvom sieťových tréningov, ktoré učia naše modely brániť sa proti podobným útokom.“
