共计 3929 个字符，预计需要花费 10 分钟才能阅读完成。
Google 已实施日益复杂的保护措施，详情请参阅 此链接，以防止那些试图破坏您的 Gmail 账户的人——但使用 AI 驱动的攻击的黑客也在不断进化。根据 Google 自己的数据，目前 Gmail 服务的用户超过 25 亿。难怪它成为黑客和诈骗者的目标。以下是您需要了解的内容。
最新的 AI 驱动的 Gmail 攻击非常可怕
Microsoft 解决方案顾问 Sam Mitrovic 在几乎成为“超现实 AI 诈骗电话”的受害者后发出警告，这种诈骗电话甚至能欺骗最有经验的用户。
这一切始于 Mitrovic 意识到针对他的攻击的复杂性的一周前。“我收到了一个通知，要求我批准 Gmail 账户恢复尝试，”Mitrovic 在 一篇警告其他 Gmail 用户的博客文章 中回忆道。确认账户恢复或密码重置的请求是一种臭名昭著的钓鱼攻击方法，旨在引导用户进入一个虚假的登录门户，在那里他们需要输入凭据以报告该请求不是由他们发起的。
不出所料，Mitrovic 没有上当，忽略了似乎来自美国的通知和 40 分钟后来自澳大利亚悉尼的未接电话，该电话声称来自 Google。到目前为止，相对简单且容易避免。然后，几乎正好一周后，事情开始变得严重——另一个账户恢复请求通知，40 分钟后又有一个电话。这次，Mitrovic 没有错过电话，而是接听了：一个自称来自 Google 支持的美国声音确认了 Gmail 账户上有可疑活动。
“他问我是否在旅行，”Mitrovic 说，“当我回答没有时，他问我是否从德国登录，我回答没有。”这一切都是为了在通话者中建立信任，在接收者中制造恐惧。这时事情迅速变得黑暗，并且在钓鱼的整体计划中相当聪明。所谓的 Google 支持人员告诉 Mitrovic，一个攻击者已经访问了他的 Gmail 账户 7 天，并且声称已经下载了账户数据。这引起了警报，因为 Mitrovic 回忆起一周前的恢复通知和未接电话。
在通话过程中，Mitrovic 搜索了对方提供的电话号码，发现它确实指向 Google 业务页面。这本身就是一个聪明的策略，可能会欺骗许多在恐慌时刻陷入困境的毫无戒心的用户，因为它不是一个 Google 支持号码，而是关于从 Google Assistant 接到的电话。“在通话开始时，你会听到通话的原因以及通话来自 Google。你可以预期通话来自自动化系统或某些情况下的手动操作员，”100% 真实的页面 善意地告知读者。
另一个由 AI 驱动的 Google 支持诈骗引发了针对 Gmail 用户的警告
风险投资公司和初创企业加速器 Y Combinator 的创始人 Garry Tan 在 X（前身为 Twitter）上发布 警告，称另一种利用 AI 使其看起来可信的钓鱼诈骗“相当复杂”。再次，与几乎欺骗了安全顾问 Sam Mitrovic 的诈骗一样，最新的警告涉及所谓的 Google 支持技术人员的联系。我不会像 X 上的一位评论者那样认为 Google 没有为用户提供任何支持，但当涉及到这些诈骗时，这并不太远：Google 支持不会像这样突然联系你。“不要点击这个对话框中的‘是’，”Tan 警告说，“你会被钓鱼。”
在针对 Tan 的诈骗案例中，所谓的 Google 支持人员声称公司收到了死亡证明，并且家庭成员正在尝试恢复他的账户。换句话说，只有 AI 才会这么愚蠢，检查接电话的人是否还活着。“这是一个相当复杂的策略，让你允许密码恢复，”Tan 继续警告说，但他发现他看到的账户恢复屏幕上的设备字段显示了一个 Google 支持工作者的名字，而不是实际使用的设备。Tan 建议，设计恢复界面的人应该在相关文本字段上使用一些基本的正则表达式检查，甚至是基于 AI 的欺诈检测。“检查设备名称是相对简单的，”他总结道。诈骗的一部分涉及让 Tan 重新添加他的手机号码作为验证过程的一部分，以触发账户恢复对话框。然而，Tan 对此很明智：“我曾被 SIM 卡交换过，所以知道永远不要在我的账户上使用我的手机，”Tan 解释道。
使用 Google 表单使联系看起来合法
诈骗者还被发现利用 Google 表单（Google Workspace 的一部分的免费在线工具）来创建看似合法的文档，作为支持诈骗的一部分发送。通过将表单的副本发送到目标地址，使用 Google 表单的响应收据选项，文档通过真正的 Google 服务器发送，增加了诈骗的合法性。检查电子邮件将显示它来自 workspacesupport@google.com，例如，这会降低收件人可能有的任何红色警报。一个这样的诈骗使用这样的表单来模仿账户恢复密码重置表单，告诉目标他们将从指定的支持代理收到 SMS 通知，并给他们检查的号码。这种双重合法性方法足以在很多时候欺骗很多人。在这种情况下，如果接收端的人足够精明，唯一的失误是一个复杂且过长的密码重置过程。
从这些 Google 支持黑客的近距离失误中吸取的教训
Mitrovic 做出了正确的选择，即挂断电话，并要求所谓的支持人员发送电子邮件确认——一封来自 Google 域名的电子邮件很快就到了，看起来完全真实。在这一点上，他注意到“收件人”字段包含一个巧妙伪装的地址，实际上并不是 Google 域名，但再次，很容易欺骗那些没有技术倾向的人。
然而，对 Mitrovic 来说，真正的线索是当通话者说“你好”，在没有回应后再次说“你好”。“在这一点上，我意识到这是一个 AI 声音，因为发音和间隔太完美了，”Mitrovic 说。
强烈建议阅读 Mitrovic 的 原始博客，因为它包含了我在这份报告中没有空间涵盖的更多技术细节和侦探工作。知识就是一切，这位顾问提供的威胁情报对于任何可能发现自己处于类似情况的人来说都是真正无价的：有备无患。
几乎可以肯定的是，攻击者会继续直到某个阶段，所谓的恢复过程将被启动，实际上这将是一个克隆的登录门户，捕获用户凭据，并可能使用某种会话 cookie 窃取恶意软件来绕过双因素认证（如果已启用）。
Google 启动全球信号交换以打击诈骗者
Google 宣布已与全球反诈骗联盟和 DNS 研究联盟合作，发起了一项新的倡议，以打击诈骗者。全球信号交换 将作为一个情报共享平台，提供有关诈骗和欺诈的实时洞察，提供对网络犯罪供应链的深入了解。作为全球信号交换的创始成员之一，Google 希望该平台将成为一个全球情报交换中心，连接与不良行为者和他们的攻击相关的信号。
Google 信任与安全高级总监 Amanda Storey 表示，这种合作“充分发挥了每个合作伙伴的优势”。GASA 拥有广泛的现有利益相关者网络，DNS 研究基金会拥有超过 4000 万个现有信号的数据平台，“GSE 旨在改善滥用信号的交换，使各行业、平台和服务能够更快地识别和破坏欺诈活动。”
Google 确认，最终目标是创建一个不仅在互联网本身的几乎不可想象的规模上运行，而且在效率和最重要的是用户友好性方面运行的解决方案。这意味着符合条件的组织将能够使用它来反击诈骗者。Google 在这一领域已经有很多经验，长期以来一直与合作伙伴合作帮助打击欺诈。事实上，作为新全球信号交换的测试的一部分，Google 分享了超过 10 万个恶意 URL，并消耗了惊人的 100 万个诈骗信号进行分析。“我们将从分享我们在诈骗政策下采取行动的 Google 购物 URL 开始，”Google 账户安全产品经理 Nafis Zebarjadi 说，“随着我们从试点中获得经验，我们将很快从其他相关 Google 产品领域添加数据。”
全球信号交换的核心引擎运行在 Google Cloud 上，使所有参与者能够共享和消费情报信号，同时“受益于 Google Cloud Platform 的 AI 能力，以智能地发现模式和匹配信号”，Storey 总结道。
保持安全，避免最先进的 Gmail 诈骗
AI 深度伪造不仅用于色情和政治，它们还被用来实施看似简单的账户接管诈骗，如本例所示。如果您被声称来自 Google 支持的人联系，请保持冷静，他们不会打电话给您，所以这是一个巨大的红色警报，如果您挂断电话，不会有任何伤害。使用您手头的工具，Google 搜索本身和您的 Gmail 账户，如果您担心它可能是真实的，并且在忽略它可能会造成伤害的情况下，在通话期间进行检查。搜索电话号码，看看它真正来自哪里。检查您的 Gmail 活动，看看是否有任何其他设备（除了您自己的设备）在使用该账户。注意 Google 关于 如何保持安全，避免使用 Gmail 钓鱼诈骗的攻击者 的说明。最重要的是，永远不要让自己被匆忙做出冲动反应，无论对话中注入多少紧迫感。正是这种紧迫感，攻击者依赖于绕过您的正常良好判断，点击链接或交出凭据。
使用 Google 的高级保护计划——现在支持 Passkey
我还建议考虑加入 Google 的高级保护计划，该计划专为记者、活动家和政治家等高风险账户持有者设计。高级保护计划的一个缺点一直是它需要购买两个硬件安全密钥，以便在登录账户时使用。今年早些时候，Google 宣布 Passkey 支持将面向高级保护计划用户，从而减轻了财务负担。
这两种技术带来的保护组合使得它对于大多数拥有 Google 账户的人来说都是一种无需思考的选择，包括所有 Gmail 用户。原因如下。在任何设备上首次登录 Google 时都需要 Passkey，这意味着即使黑客获得了您的用户名和账户，如果没有存储 Passkey 的设备（您的智能手机）和验证所需的生物识别信息，他们也无法登录。结合高级保护计划的注册，该计划限制大多数非 Google 应用和服务访问您的 Gmail 账户数据，也使得被钓鱼的密码和账户恢复变得更加困难。“如果有人试图恢复您的账户，”Google 发言人表示，“高级保护会采取额外步骤来验证您的身份。”这意味着可能需要几天时间来验证您是谁，并重新获得对您的 Google 账户的访问权限。但这意味着黑客也不能通过诈骗进入。
