谷歌警告：Gmail现高仿钓鱼邮件

谷歌近日警告其近20亿Gmail用户，立即删除一封试图伪装成来自谷歌的可疑电子邮件，这种新型骗局被称为“无回复”电子邮件攻击。

（图源：每日邮报网站截图）

受害者会收到一封看似来自no-reply@accounts.google.com的官方邮件，邮件中声称谷歌已接到警方的传唤，要求公布用户账户中的所有信息，并附带一个谷歌支持页面的链接，表面上看似包含针对用户的法律案件详情。

当用户点击链接并下载或批准查看伪造法律文件的权限时，攻击随之启动。受害者在不知情的情况下给予骗子对其Google账户的访问权限，例如读取电子邮件或访问文件的权限。

更严重的是，在某些情况下，下载的伪造文件会将恶意软件传播至受害者设备，进而窃取包多信息，包括密码和银行数据。

（图源：X网站截图）

据曾在谷歌和加密货币以太坊工作的技术开发人员Nick Johnson介绍，骗子们通过谷歌自身的系统实施该攻击。具体而言，他们利用了名为“谷歌OAuth”的工具，该工具允许第三方应用在用户授权后访问其谷歌账户。

攻击者创建一个仿冒谷歌的网址，注册一个虚假应用，并通过该应用发送邮件。由于邮件来自谷歌系统，因此外观真实，但实际上是通过隐藏真实来源的服务转发的。

这些诈骗邮件通常包含一个指向托管在谷歌自家平台sites.google.com上的假冒支持页面链接，使其更具可信度。一旦用户点击链接，将被引导至一个伪装成谷歌登录界面的页面，并被诱导授权权限给骗子的应用。

此类网络钓鱼攻击所窃取的信息取决于用户所点击或下载的内容。在最糟糕的情况下，恶意软件将用户设备暴露给黑客，可能导致密码被盗、银行账户被访问，甚至设备被远程劫持。

为保障安全，Gmail用户在遵循任何电子邮件指示前，应仔细检查“收件人”和“发件人”字段。若显示为陌生地址，很可能是骗子。网络安全公司卡巴斯基指出，这类邮件地址常以“我”开头，如me@googl-mail-smtp-out-198-142-125-38-prod.net，看似可疑，但在Gmail中仅显示“我”，易使用户误认为是来自熟人的邮件。

一旦打开邮件，用户便会看到一份虚假的法律通知，可能因此惊慌采取错误操作。

网络专家呼吁所有谷歌账户用户，切勿点击邮件中的可疑链接，除非链接来自可信网站；在网上下载文件前务必核实来源。如有疑问，请手动在浏览器输入support.google.com访问谷歌官方网站，而非点击邮件内链接。

同时，使用高效的杀毒软件可在这些网络钓鱼邮件造成危害前进行拦截。

谷歌还提醒其18亿用户检查安全设置，并建议移除传统的双因素身份验证，改用“密码匙”技术。

密码匙是一种无密码、防钓鱼的身份验证方式，依赖存储于用户设备的加密密钥，并结合生物识别技术（如指纹、面部扫描或PIN码）进行验证。微软等科技公司认为，密码匙比传统的双因素验证更安全，后者通常是在登录时向手机或电子邮箱发送一次性代码。