Google官方警告：如果看到這封信應立即刪除！
資訊安全》Google官方警告：如果看到這封信應立即刪除！｜天矽網頁設計
| 目錄 ➤為什麼不要點擊來自no-reply@accounts.google.com的信件？ ➤駭客如何假冒no-reply@accounts.google.com進行詐騙？ ➤什麼是社交工程攻擊？ ➤小結 |
➤為什麼不要點擊來自no-reply@accounts.google.com的信件？
近期，Google向全球20億用戶發出警告，表示若用戶收到來自no-reply@accounts.google.com的信件，看似來自Google官方，但文字內容顯得緊急，用戶常常會緊張「是不是自己的帳號被盜了」。
對此，Google發出官方聲明，若收到no-reply@accounts.google.com，絕對不要點擊信件中的連結，因為這些信件可能是假冒 Google 官方的釣魚郵件，目的在於竊取帳號資訊。
➤駭客如何假冒no-reply@accounts.google.com進行詐騙？
駭客冒充no-reply@accounts.google.com向用戶進行詐騙，是一種常見的社交工程攻擊手法，且這個信箱是Google官方自動通知的地址，大多數用戶會下意識地相信。下表整理出幾個常見駭客假冒no-reply@accounts.google.com會如何進行詐騙。
| 詐騙方式 | 操作方式 | 目的 | 如何預防 |
|
假冒寄件人地址 |
假冒Google官方名稱： |
誤導用戶是Google官方寄的信件 | 檢查寄件地址、不要輕易就點擊信件中的連結 |
| 緊急語氣使用戶緊張 | 信件標題寫「您的帳號已被入侵」、「您的帳號即將停用」等語句 | 使用戶下意識相信，從而快速點擊信件中的連結 | 冷靜判斷、不要輕易就點擊 |
| 假冒登入頁 |
信件放上假的登入頁，讓用戶下意識點擊並輸入帳密 |
竊取帳戶資訊 | 滑鼠移到連結，看網址是否為 google.com |
| 誘導下載附件或程式 | 信件說明需下載「安全掃描工具」「驗證程式」 | 植入惡意程式、木馬或鍵盤側錄器(註1) | 不下載來路不明的附件 |
| 冒用存取權限 | 授權假的 App 存取 Google 帳戶資料 | 竊取Gmail、雲端硬碟、聯絡人等敏感資料 | 檢查授權過的應用程式 |
註1：鍵盤側錄器是一種惡意程式，主要目的是紀錄使用者於鍵盤上輸入的內容，包含密碼、帳戶憑證或信用卡號等，通常會被設計成使用者在不知情的狀況下運行，因此難以被察覺。
➤什麼是社交工程攻擊？
社交工程攻擊，是透過操縱、欺騙或引導人的心理與行為，進而取得敏感、登入憑證資訊、或進一步攻擊目標系統的手法。技術門檻無需很高，通常是利用人的情緒、心理、習慣或同理心等弱點，從而發佈的攻擊。
一般來說，社交工程攻擊可視為一種具備明確階段的循環流程：情報蒐集 → 建立信任→ 發動攻擊 → 達成目的 → 擴散攻擊 → 清除痕跡。
1.情報蒐集
- 目的：研究攻擊對象是誰、在哪工作、常使用哪些系統。
2.建立信任
- 目的：打造一個讓人「容易相信的情境」。
- 手法：例如，假裝成Google安全團隊。
3.發動攻擊
- 攻擊工具：釣魚郵件、假網站、惡意附件、冒充電話。
- 目的：誘導點擊連結、下載檔案、回覆資料或授權存取，製造「急迫性」使用戶來不及判斷或因為緊張心理就操作。
4.達成目的
- 說明：成功竊取帳戶資訊，進入系統取得大規模的敏感資訊。
5.擴散攻擊
- 說明：如果是企業或組織的一員，駭客可能假冒你的帳號進一步擴散攻擊更多人。
6.清除痕跡
- 說明：駭客移除惡意程式與通訊紀錄，並中斷與受害者之間的互動，降低被追蹤或揭露的風險。
➤小結
社交工程攻擊雖然不像電腦病毒有明確攻擊時間，但它是一種具備明確流程與目標的攻擊策略。簡單來說，這類的攻擊不仰賴高深技術門檻，而是以操控人性與假冒情境為主的心理戰術。有時，資安真正考驗的不是系統的防護，而是使用者的判斷力與警覺心！
