文章总结： 该文档披露了针对Gmail用户的新型精密钓鱼攻击，攻击者利用谷歌官方服务（如GoogleDrive通知和GoogleSites）发送欺诈邮件，邮件显示为合法谷歌域名发送且通过安全认证，极具欺骗性。关键发现包括未开启双重认证的用户面临全面信息泄露风险，即使开启2FA也可能被实时截取验证码。可操作建议包括验明发件人地址、悬停预览链接、警惕紧急感邮件、手动登录官网，以及误点击后的应急方案如立即改密和启用2FA。 综合评分： 85 文章分类： 网络钓鱼,安全意识,应急响应,漏洞预警,解决方案

警惕！Gmail邮件正遭遇史上最危险的钓鱼攻击

意商业

2025年4月23日 00:53 意大利

在小说阅读器读本章

去阅读

意商业编译：

当”Gmail官方”给您发邮件时，请勿轻易点击——这可能是针对谷歌邮箱用户精心设计的钓鱼陷阱。尽管Gmail钓鱼攻击并不新鲜，但此次骗局之精密足以欺骗任何人。攻击者不再使用漏洞百出的语法或可疑链接，而是直接套用谷歌官方模板，甚至利用谷歌自有服务（如Google Drive通知）发送欺诈邮件，使得邮件显示为合法谷歌域名发送，并通过了DKIM等安全认证，连Gmail系统都将其归类为官方安全通知。

开发者亲历骗局 知名科技开发者Nick Johnson在X平台详细披露了遭遇：他收到一封来自[email protected]的”法律传票”邮件，要求提供Google账户内容。由于邮件通过真实谷歌域名发送且附带有效安全认证，Johnson一度信以为真。点击链接后，他跳转至与谷歌登录页面完全一致的伪造界面——实际上这是攻击者通过Google Sites服务创建的钓鱼页面（网址为sites.google.com而非accounts.google.com）。

致命风险 一旦输入账号密码：

• 未开启双重认证（2FA）的用户将面临邮箱、云文档、支付信息全面泄露
• 即使开启2FA，攻击者仍可能通过伪造页面实时截取动态验证码

谷歌的争议性回应 Johnson报告后，谷歌最初以”符合预期功能”为由关闭漏洞报告，后迫于舆论压力改口承认问题。谷歌向《新闻周刊》确认，已知悉黑客组织”Rockfoils”的定向攻击，并已部署防护措施（预计一周内全面生效），同时建议用户立即启用2FA和通行密钥。

自救指南

1. 验明正身：检查发件人真实地址（显示名称可伪造）
2. 悬停预览：鼠标悬停链接可显示真实跳转地址
3. 警惕恐吓：凡是制造紧急感的邮件都是红牌警告
4. 手动登录：任何账户操作都直接访问官网，拒绝邮件链接跳转

误点击应急方案

• 立即更改谷歌密码
• 强制启用2FA
• 通过myaccount.google.com检查账户活动
• 使用Gmail举报功能标记钓鱼邮件

【意商业编译，未经允许禁止转载】

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：意商业 《警惕！Gmail邮件正遭遇史上最危险的钓鱼攻击》