釣魚郵件新花招！冒用熟人專騙Gmail用戶，看圖跳出假驗證來竊帳密

資安外掛工具開發團隊Wordfence近日發現一種新型態的Gmail釣魚手法，駭客假冒熟人名義寄發釣魚信件給Gmail用戶，內附一張與釣魚對象生活相關的縮圖圖片，若打開這張圖片縮圖，會跳出一個偽造的Google身分驗證頁面，而非真的Gmail圖片預覽功能。駭客再藉此竊取被害者輸入到假網頁上的Google帳號和密碼，進而能完全控制這些受駭Google帳戶。

駭客這套新型態的釣魚手法，目標鎖定在Gmail用戶。駭客會向Gmail用戶發送釣魚郵件，為了誘騙被害者上鉤，不只假冒被害者熟人名義寄信，還會附一張與被害者或是寄信者生活相關的圖片，讓整個信件看起來就跟其他信件一樣，提高被害者的信任度。

當被害者點擊附件的圖片，就會跳出偽造的Google身分驗證網頁，而非預覽附件圖片，提示被害者須輸入帳密才能繼續執行後續程序。一旦被害者不疑有他輸入資料，駭客就能竊取到這些帳密，進而操控被害者的Google帳戶。Mark Maunder認為，駭客甚至可以竄改被害者的Google密碼，造成被害者無法使用Google其他服務。除此之外，Mark Maunder表示，駭客獲得帳戶後，還會查閱受害者信件內容，來進一步發送釣魚郵件給受害者的親朋好友。例如，若業務人員遭駭，就會讓往來客戶成為駭客鎖定釣魚的新目標。

該團隊成員Mark Maunder在官網上解釋，這類釣魚網站網址通常是超長字串，多以「data:text/html」開頭或結尾，因為這類字串並非是正常的網址，而是文件的位址，得檢視完整網址才能分辨。另外，Google服務已採Httpsru8 加密協定，所以，正常Google網頁，網址旁邊會出現綠色鎖頭圖示，若瀏覽Google網頁時，網址旁邊出現紅色圖示，則代表這可能一個不安全的假網頁。Mark Maunder也建議，使用者應該定期更換Google帳戶的密碼，並且使用雙因素認證，才能提高帳戶的安全性，避免帳號遭盜用。