小心這種狡猾的Google網路釣魚詐騙

釣魚詐騙者現正冒充Google，從看似「[email protected]」的地址發送緊急電子郵件，聲稱來自「執法機關」的傳票與收件人的Google帳戶有關。*Bleeping Computer* 揭露，這些詐騙者利用Google的「Sites」平台製作令人信服的釣魚電子郵件和網站，旨在恐嚇用戶交出其登錄資訊。

根據電子郵件認證專家EasyDMARC的說法，這些詐騙電子郵件設法繞過Google的DomainKeys Identified Mail (DKIM)檢查。如何做到？透過巧妙使用Google自己的工具。詐騙者將其假應用程式命名為整封電子郵件內容，Google隨後自動從其系統發送，使其看似合法。

Gmail安全通訊發言人Ross Richendrfer分享了Google的回應：「我們已知悉這類來自此威脅行為者的針對性攻擊，並已推出防護措施以封鎖此濫用途徑。與此同時，我們鼓勵用戶採用雙重認證和通行密鑰，這為這類釣魚活動提供了強大的保護。」

相關

• 通行密鑰：關於無密碼登錄的所有新聞和更新

相關

• YouTube警告創作者，一段AI生成的其首席執行官視頻正被用於釣魚詐騙
• 現在Gmail也擁有藍色驗證勾選圖標

當這些詐騙電子郵件被轉發到用戶的Gmail時，它們保持簽署狀態並看似有效，因為DKIM僅驗證原始訊息和標頭。上個月，這種DKIM中繼技巧也曾被用來針對PayPal用戶。釣魚電子郵件將受害者引導至一個看似官方的支援頁面，位於sites.google.com，而非真正的accounts.google.com，寄望用戶不會注意到差異。

Ethereum Name Service的開發者Nick Johnson成為此Google釣魚詐騙的受害者。他報告這是Google OAuth應用程式的濫用，最初被Google視為「按預期運作」。然而，在重新考慮後，Google現正解決此問題。

更新，4月21日：新增Google的聲明。