你的Gmail 也被入侵了嗎？分辨釣魚信件的5 大技巧！

許多NGOs 工作者最近收到了貌似來自Google 的安全通知信件，聲稱其帳號受到多次嘗試登入，並且帳戶已因此遭到鎖定。

除此之外，信件內容更要求收件者點選連結以重新登入 ... NPOst公益交流站 TopMenu MainMenu share NEWS 你的Gmail也被入侵了嗎？分辨釣魚信件的5大技巧！ Poston: 7月31,2017 NPOst編輯室 文／林雨蒼 民間司改基金會執行祕書 近日，臺灣NGOs持續關切中國諾貝爾和平獎得主劉曉波於服刑期間逝世的議題，並聲援遭中國拘禁的我國非政府組織工作者李明哲。

在人權團體鍥而不捨大力奔走的努力下，聲援行動受到聯合國與歐盟的支持與關注。

然而，除了獲得國際間的關注之外，這些NGOs成員似乎也受到另類的「關注」。

許多NGOs工作者最近收到了貌似來自Google的安全通知信件，聲稱其帳號受到多次嘗試登入，並且帳戶已因此遭到鎖定。

除此之外，信件內容更要求收件者點選連結以重新登入帳戶，或進行安全設定檢查來確保帳戶的安全性。

收到此信件的許多工作者因而感到非常擔心，懷疑是否自己設定的Gmail二階段驗證登入機制失效，或帳戶已受到駭客掌控。

然而，將此信件轉交專業資安研究人員鑑定後，研究人員判定這些疑似來自Google的安全通知信件，事實上是來自駭客的釣魚信件。

看似安全通知信，原來是釣魚信 此釣魚信件的目的是利用當事人恐慌的心理狀態，誘騙當事人點選信件中的連結以騙取其電子郵件的帳號密碼。

一旦收件者受騙上當並輸入帳號密碼後，駭客極有可能會利用這組帳號密碼嘗試入侵其他相關系統，達成進一步的入侵。

在資安研究的領域中，這種透過當事人各種心理狀態進行誘騙，達到攻擊目的的攻擊方式被稱為「社交工程」。

使用社交工程的攻擊方式不僅能大幅提高攻擊的成功率，更能降低攻擊者的攻擊成本。

因此，這是一種在網路攻擊行動中被廣泛使用的攻擊手法。

身為一般電子郵件使用者的我們，該如何自行判斷這封信件是否正常呢？首先，不只生活中充斥著各種詐騙，電子世界中也是。

因此，不論收到任何主題與內容的電子郵件，收件者都務必保持冷靜，並仔細觀察信件內容，以找出任何可疑的蛛絲馬跡。

判斷釣魚信件的5個技巧 以此封釣魚信件為例，我們可以透過以下方式來進行判斷： 1.標題 此封信件的標題為「登入告警：嘗試登入達到認證上限」，其中「登入告警」很明顯為中國用語，在繁體中文的環境下，正常應會被寫作「登入警告」，而不會使用「告警」。

2.寄件者 為避免冒用，Google不會使用gmail.com結尾的電子信箱來寄送任何Google系統信件，因為gmail.com任何人都能註冊，這封信的結尾卻使用了gmail.com。

Google官方的email結尾應該是google.com（內部員工才能拿到的email位址）。

3.信件內容 信件內有附圖片，將滑鼠滑過去，左下角會出現圖片網址，將網址放到WHOIS上驗證，卻發現網址的持有者不是Google（亦即放圖片的server不是Google的server）。

Google系統通知信內，所附的圖片不使用Google旗下的伺服器或網站，這就是一個非常可疑的疑點。

4.連結或者附件內容 雖然頁面長得跟Google登入畫面一模一樣，但要求帳戶安全檢查頁面的連結網址，其持有人卻不是Google。

如下圖紅框處，要求重設密碼的頁面，其網址本應顯示有google.com的字樣才對。

5.交叉確認 Google帳戶的安全警告除了利用Email通知，Google通常會另行顯示在帳戶內的其他地方，例如會顯示在我的帳戶→裝置活動與通知→近期安全事件。

使用者可以利用這個功能確認Email所描述的安全事件是否真的存在。

綜合以上描述，我們可以合理懷疑這封信大有問題。

裡面的連結恐怕是惡意連結，非常可能是釣魚信件。

提升Gmail帳號安全性，從日常做起 其實，除了在收到信件時可以利用以上方法來進行確認，建議使用者平時也需對帳戶安全性多加注意，利用以下方法來加強安全防護── 1.打開Google2階段驗證 設定帳戶2階段驗證完成，使用者輸入登入帳戶密碼之後，系統會透過簡訊或其他方式寄送驗證碼到使用者的行動裝置上，或是透過App自動產生驗證碼，使用者需要再次輸入收到的驗證碼才能完成登入。

此驗證方法的目的在於利用使用者的行動裝置再次確認登入者的身分，多一個確認步驟，即可增加駭客入侵的難度。

2.從Google的研究功能中打開Gmail的驗證功能 啟用Gmail驗證功能後，Gmail會在寄件者的地址旁邊提示使用者是否通過身分認證。

因此開啟此功能後，真正的Google系統郵件旁邊會額外顯示鑰匙圖示。

啟用Google驗證功能，真正的Google系統郵件旁邊會額外顯示鑰匙圖示。

最後，假設我們真的收到了釣魚信件時該怎麼辦呢？如同案發現場，在發現攻擊事件時最重要的是先保留證據，無論是使用瀏覽器登入使用Gmail，或是使用Outlook等軟體收發郵件，都要記得透過擷取畫面的方式保留當下所看見的信件畫面。

除此之外，保留原始信件也非常重要，在Gmail上，可以在信件右方點選「顯示原始郵件」來下載原始郵件。

在保留信件畫面與原始內容後，可以將這些資料交由資安研究人員進行分析，以利進行進一步的追查。

如果信箱真的遭到入侵，可能會被做什麼事？ 首先，攻擊者可能會先設定「篩選器」功能，設定將郵件轉寄至攻擊者可以控制的信箱，進一步分析這個帳戶的來往郵件與撰寫習慣；接下來，攻擊者可能會透過信箱發送特定的釣魚信，謊稱是當事人並特別攻擊某位認識的朋友，看是不是可以取得更多資料，或是誘騙被入侵者點擊連結，進而取得被入侵者電腦的控制權，存取更多機密資料。

很多人會說：「我的信箱或電腦中又沒有什麼資料，我不擔心會被入侵」。

但事實上，對方要的可能不是你信箱中的郵件，而是透過你的信箱、電腦，偽裝成你（被入侵者）以接觸到你周圍的朋友或同事，進而從他們身上竊取資料；或是控制電腦後，以該電腦發起攻擊，如此一來警方追查時可能就只會追到被入侵者，而無法揪出真正在背後發動攻擊的攻擊者。

因此，不要以為自己沒有什麼重要的資訊就不會被入侵，你可能會變成有意人士攻擊別人的節點。

資訊安全不是只有換換密碼而已，有機會可以多多參與資安相關的研討會，了解最新的攻擊技術與防禦技巧，在現實生活中也要多方查證，才不會不小心讓自己成為攻擊他人的節點。

附錄 此次釣魚郵件所使用之網址與對應IP： http://account.mailcloud.pw→ 104.156.239.73 http://membersgrupojuritas.isasecret.com→ 200.105.138.195 此次釣魚郵件有問題的寄件者Mailaddress： [email protected] [email protected] 作者 林雨蒼 自由軟體工作者、公民記者，目前任職於民間司法改革基金會，並為不當黨產處理委員會兼任委員。

本文原載於NGO工作者的Gmail被入侵？分辨釣魚信件的五個細節！／INSIDE，NPOst授權轉載。

Tags: Gmail林雨蒼釣魚信件駭客 作者介紹 NPOst編輯室NPOst公益交流站，隸屬社團法人臺灣數位文化協會，為一非營利數位媒體，專責報導臺灣公益社福動態，重視產業交流、公益發展，促進捐款人、政府、社群、企業、弱勢與社福組織之溝通，強化公益組織橫向連結，矢志成為臺灣最大公益交流平臺。

另引進國際發展援助與國外組織動向，舉辦實體講座與年會，深入探究議題，激發討論與對話。

其姐妹站為「泛傳媒」旗下之泛科學、泛科技、娛樂重擊等專業媒體。

臉書：https://www.facebook.com/npost.tw 延伸閱讀 公益團體的資安策略指南（三）：做好這些步驟，成為沉穩的資安指揮官！ 整理／趙家薇編按：《網路星期二》於9月... 數位轉型首部曲：挺進公益資安最前線 10月27,2021 公益團體的資安策略指南（一）：透視黑色產業鏈，建構防禦碉堡 整理／趙家薇編按：《網路星期二》於9月... 數位轉型首部曲：挺進公益資安最前線 10月13,2021 搜尋站上文章 支持NPOst訂閱電子報 訂閱粉絲團，好文不漏接！ 最新文章 實驗教育畢業生成為教育工作者之後──再探教育體制內外的距離（下） 1月7,2022 實驗教育畢業生成為教育工作者之後──再探教育體制內外的距離（上） 1月7,2022 【徵才幫推】台灣防暴聯盟誠徵桃園市社區照顧關懷據點輔導團團隊專案人員三名及倡議組專案社工員一名 1月5,2022 【年度回顧】公益疫情解方在哪裡？給NPO夥伴的新年工作小錦囊 1月5,2022 一場原住民教育體系的自發實驗（下）／Pinanaman河邊教室：用自己的語言來學自己的文化，讓孩子有自信心。

12月30,2021 一場原住民教育體系的自發實驗（上）／Tamorak共學園：語文課應該要上阿美語，那我們就這樣教。

12月30,2021 【活動幫推】第六屆DreamBig元大公益圓夢計畫徵件起跑！ 12月30,2021 【徵才幫推】財團法人「張老師」基金會臺南分事務所誠徵「方案社工員」一名 12月28,2021 【徵才幫推】One-Forty年度徵才季「Now,it’syourturn.」年度志工、實習生招募中 12月27,2021 【Σ教育=?】教育路途上──沒有誰幫誰，而是陪伴彼此／籿苗教育發展協會理事長扣扣老師談教育陪伴 12月24,2021 熱門文章 「我第一次感覺這麼爽！」手天使首位使用者的體驗心得 SDGs專欄／臺灣，性別平等了嗎？從重視兩性受害者開始 【活動現場】《勞基法》一例一休新制上路，NPO如何排班才合法合理？ SDGs專欄／世界正在翻轉！認識聯合國永續發展目標 七成街友有工作，九成非自願：你真的了解街友嗎？ 你的Gmail也被入侵了嗎？分辨釣魚信件的5大技巧！ 褚士瑩專欄【阿北私會所】義工、志工、社工，傻傻分不清？做NGO工作難道不會餓死嗎？ 日子過得辛苦就上網公開募款，究竟有沒有違法？／《公益勸募條例》的迷思 家有一「老」，如何讓他變成「寶」？心理師教你共創「快樂老人」 慈濟不是以服裝分階級、靜思堂用的是銅瓦，慈濟人澄清網路謠言 認識永續發展，鎖定專欄！ 我要投稿