Корпорация Google официально опровергла распространившиеся в начале сентября 2025 года сообщения о якобы массовом уведомлении 2,5 миллиардов пользователей Gmail о критической уязвимости. В заявлении компании, опубликованном 1 сентября, подчёркивается, что подобные утверждения являются «полностью ложными» и не соответствуют действительности. Инцидент вызвал беспокойство среди пользователей по всему миру, однако, как выяснилось, паника оказалась необоснованной.
Источником недоразумения стал реальный, но ограниченный по масштабам инцидент, произошедший ещё в июне 2025 года. Тогда киберпреступная группировка ShinyHunters получила доступ к одной из внутренних баз данных Salesforce, используемой Google для управления контактами малого и среднего бизнеса. Злоумышленники применили метод голосового фишинга (вишинга), представляясь сотрудниками IT-поддержки и вынуждая сотрудников Google предоставить доступ к системе.
Важно отметить, что в результате атаки не были скомпрометированы пароли, финансовые данные или какая-либо иная чувствительная информация. Утечка ограничилась корпоративными контактами: названиями компаний, адресами электронной почты и номерами телефонов. Сама инфраструктура Gmail и учётные записи пользователей не пострадали. Google оперативно устранил угрозу и уведомил всех затронутых лиц ещё в начале августа.
Тем не менее, несколько СМИ ошибочно интерпретировали этот инцидент как свидетельство масштабного кризиса безопасности Gmail. В некоторых публикациях утверждалось, что Google разослал глобальное предупреждение всем пользователям с рекомендацией немедленно сменить пароли. Это вызвало цепную реакцию и распространение дезинформации, что и побудило компанию выступить с опровержением.
В своём заявлении Google подчеркнул, что защита Gmail остаётся надёжной и эффективной. Система блокирует более 99,9% фишинговых атак и вредоносных программ до их попадания в почтовые ящики. Кроме того, компания напомнила о важности использования современных методов аутентификации, таких как паскей (passkey) - цифровые ключи, привязанные к устройству и устойчивые к краже. Также рекомендуется использовать двухфакторную аутентификацию через приложения-аутентификаторы или аппаратные ключи, а не SMS.
Данный случай иллюстрирует растущую проблему целевых атак на сотрудников крупных компаний через социальную инженерию. Группировка ShinyHunters известна подобными операциями против таких брендов, как Adidas, Qantas, Cisco и компаний группы LVMH. Как правило, злоумышленники эксплуатируют человеческий фактор, а не технические уязвимости.
Кроме того, инцидент высветил проблемы, связанные с достоверностью информации в киберпространстве. Распространение непроверенных данных может не только вызывать необоснованную панику, но и подрывать доверие к реальным предупреждениям о безопасности.
Несмотря на опровержение, Google продолжает усиливать защиту пользователей. Недавно паскей стали доступны для более чем 11 миллионов клиентов Google Workspace, а также была анонсирована бета-версия технологии Device Bound Session Credentials (DBSC), которая обеспечивает дополнительную безопасность после входа в систему.
Эксперты рекомендуют пользователям сохранять бдительность, использовать современные методы аутентификации и полагаться только на официальные источники информации о безопасности. Gmail остается одной из наиболее защищённых почтовых платформ в мире, однако ответственность за часть мер по-прежнему лежит на самих пользователях.
