Waarom verzendt Google weer accountlinks in mails?

Sinds enige tijd verstuurt Google accountnotificaties over veiligheidsissues of nieuwe functies naar de inbox van Gmail. Verontrustend feit daarbij is dat deze emails een directe link naar de desbetreffende accountinformatie bevatten.

De risico’s van gewenning aan directe accountlinks in email
Door gebruikers met enige regelmaat te confronteren met vertrouwde accountlinks over de email bestaat de kans dat gebruikers na verloop van tijd eveneens zonder schroom op valse links in emails klikken. Internetcriminelen zijn namelijk in staat om bepaalde emails en inlogschermen tot op de kleinste details na te maken.

Een valse link zal de gebruiker allereerst verzoeken zichzelf opnieuw te verifiëren. Dit verschilt niet veel van de huidige werkwijze van Google, welke soms vereist dat gebruikers zichzelf opnieuw verifiëren in relatie tot gevoelige accountinformatie. Gaat een gebruiker hier in dit geval echter in mee, dan is deze vervolgens de controle over zijn account definitief kwijt.

Digitale platformen omarmen leidraad inloggen via zelf ingetypte platform URL
In het licht van potentiële phishingpraktijken heeft een meerderheid van de digitale platformen tegenwoordig de leidraad omarmd om geen direkte accountlinks over email, sms of app meer te versturen. Over het algemeen zijn gebruikers namelijk vrij slecht in het onderscheiden van vertrouwde van valse links in email, sms of app.

Gebruikers met een eigen account kunnen immers inloggen door gebruik te maken van de welbekende platform URL. Notificaties en accountlinks kunnen vervolgens zonder risico binnen het welkomstscherm van dit account worden weergegeven. Dezelfde functionaliteit, maar zonder het risico gebruikers te laten wennen aan phishinggevoelige links in email, sms of app.

Accountnotificaties over veiligheidsissues of nieuwe functies kunnen ook gewoon over de email blijven plaatsvinden. Maar dan wel zonder daar direkte accountlinks in op te nemen.

Oproep aan Google
Internetcriminelen zien natuurlijk ook dat Google het delen van accountlinks weer gangbaar maakt en zullen daar vroeg of laat op inspelen. De oproep aan Google is dan ook om onmiddellijk te stoppen met deze phishinggevoelige praktijken van het opnemen van direkte accountlinks in emails!

Google Nederland heeft vooralsnog niet gereageerd op verzoeken om op bovenstaande bevindingen te reageren.

Art Huiskes (onderzoeksjournalist)