Google ¿haciendo negocio con el phishing?

Ayer en Barcelona, mientras tenía lugar el Security Day 2010 en Barcelona, me hizo gracia el resultado de una de las demos. La idea es que, en la sesión dedicada a la seguridad en los sistemas de correo, se envía un correo spoofeado con lo servicios de Enviar a un amigo haciendo un ejemplo de Phishing sobre Gmail. Por supuesto, el dominio elegido con SPF -all, para que Gmail se comporte como ya vimos que se comporta.

En este caso, aprovechando que estabamos en Barcelona, decidí hacerlo con La Caixa que tiene perfectamente configurado el registro SPF, no como otros, para ver el resultado, y esto es lo obtenido.


Figura 1: Configuración SPF -all de La Caixa


Figura 2: Phishing de La Caixa en el inbox con Ads de La Caixa
No sólo el correo entra, como era esperado, en el inbox y sin alerta, sino que además, Gmail se lee el correo de phishing, escrito en un "perfecto" castellano y detecta que ese correo tiene que ver con Banca y con La Caixa para poner los anuncios patrocinados de la derecha...y promocionar La Caixa. Esto de que estes patrocinando tu propio ataque de Phishing no deja de ser una paradoja muy divertida. En lugar de quejarte porque no te bloquea los correos que no pasen el filtro SPF -all les patrocinas. A mi me maravilla.

Es sabido hace mucho tiempo que Google lee el correo para ponerte la publicidad, pero a muchos parece no importarles e incluso lo recomiendan para trabajos corporativos y administración pública...

Por supuesto, como Google le cobra a La Caixa por clic en ad, no hice clic en el anuncio. Yo ya soy cliente de La Caixa y no necesito que me vendan lo que ya he comprado a costa de que paguen más a Google, pero... entre lo que les cobren por los ads y entre lo que les roben a los clientes porque Gmail no bloquee los correos que no pasan los filtros SPF -all, a la banca le sale por un pico esta relación, ¿no?

Saludos Malignos!