愈來愈多網釣連結濫用Google開放重定向功能

安全廠商Greathorn發現，近日有愈來有多網釣攻擊者利用Google Meet和Google DoubleClick的開放重定向（open redirect）功能，將用戶導向惡意網站騙取帳密。

Greathorn研究團隊估計，今年第1季到第2季之間，使用Google Meet和Google DoubleClick中的開放重定向功能的網釣攻擊成長了84%。

開放重定向是一項功能，也可說是一項漏洞。合法網域，像是Google允許使用者輸入並指定URL目的地為何，而將使用者導向任何協力網站、包括惡意網站。開放重定向功能也常被用在網釣攻擊，以騙取用戶的帳號及密碼。

DoubleClick是Google 2007年收購的老牌廣告聯盟技術，但從2008年就被發現重定向的安全隱憂，但是迄今尚未解決。2014年的惡意廣告攻擊就是利用doubleclick.net廣告聯盟網路所為。在開放重定向攻擊中，只要參數中加入目的地URL即可；在DoubleClick中用的是參數是「adurl=」，攻擊者甚至無需DoubleClick帳號即可設定開放重定向。

而Google Meet則在COVID-19疫情下，成為新興的惡意連結散布管道。拜去年的疫情所賜，遠距辦公及虛擬會議需求大增，Google Meet每日與會者超過1億，但也成為犯罪者的工具。在Google Meet傳送的URL使用「linkredirect?」即可發動開放重定向攻擊。

根據Greathorn估計，今年1到2季之間，利用Google Meet傳送的惡意連結量成長57%，而利用DoubleClick平臺傳送的惡意連結更大增141%。

為防止Google二項服務成為網釣攻擊管道，安全廠商建議搞清楚其電子郵件安全平臺是怎麼分析網域權重（Domain Authority）及目的地網站，以防用戶受到開放重定向攻擊。同時也應設定限定自家合法網域的URL重定向。