Google Translate遭駭客利用以執行網釣攻擊

資安業者Akamai的安全研究人員Larry Cashdollar最近發現一起新的網釣手法，先將流量導至Google翻譯（Google Translate）以取信受害者，再竊取受害者的Google或臉書帳號資訊。

根據Cashdollar的描述，他今年在手機上收到通知，警告有新的Windows裝置存取了他的Google帳號，但他近來並沒有啟用新裝置，決定一探究竟。

於是他在筆電上開啟了這則郵件通知，發現在手機上看起來假以亂真的警告信其實是假冒的，一來寄件者使用的是Hotmail帳號，二來寄件者的用戶名稱為facebook_secur，兩者皆與Google無關。當他點選警告信中的諮詢（Consult the activity）按鍵時，它透過Google翻譯（Google Translate）傳送了網釣頁面。

頁面的最上方出現的是Google翻譯的工具列，下方卻要求使用者輸入Google憑證。

有鑑於手機上的網頁顯示通常是更為簡潔的，因此若於手機上開啟警告通知或連至網釣頁面都較難辨識真假，例如手機上只會出現Google憑證的驗證畫面，但不會看到Google翻譯的工具列，但在筆電或桌機上則有更大的顯示版面，相對容易看出端倪。

此外，相較於直接設計一個具備奇怪網址的網釣頁面，先將流量導至合法的Google網域也較不易令人起疑。

更有趣的是，倘若受害者不疑有它地輸入了Google的憑證之後，駭客秉持著會上當一次就會上當兩次的假設，針對已受騙的受害者進行第二次攻擊，這次是傳送一個偽造的臉書登入介面，企圖騙取受害者的臉書憑證。

Cashdollar表示，此一攻擊其實有些粗糙，使用者只要稍加留意就能察覺，只是在行動裝置上要特別小心，此外，雖然以Google翻譯作為強化合法性的攻擊時有所見，但一次鎖定兩個品牌憑證的手法卻不常見，呼籲使用在收到任何警告訊息時，最好先仔細檢查訊息本身的合法性。