新式釣魚式攻擊　Google 帳戶隨時被盜，應如何處理?

資訊保安 by Getter on 16 五月, 2014

近日網絡上出現新一輪的釣魚式攻擊，攻擊者主要攻擊使用 Chrome 及 Firefox 的用戶，以偽裝成 Google 發出的電郵餌誘用戶透過電郵內的超連結將引導用戶到一個登入 Google 的頁面，從而盜取用戶帳戶及其他相關內容。

在網址內插入外掛部件

著名防毒軟件 BitDefender 黑客正以一個更新，更優良的方式去盜取 Google 帳戶，新的釣魚式攻擊難以用傳統的偵測技術去發現。
今次被發現的攻擊是透過在網址 (Uniform Resource Identifiers，URLs) 中插入不同的外部插件，將用戶引導到正常的頁面，基於一般用戶可能不懂得解讀網址，不虞有詐，因用戶輸入資料並送出時，黑客就會得到用戶的資料。是次攻擊主要針對不會在網址列顯示網址全寫的 Chrome 及 Firefox 用戶，但不排除將來會牽涉更多的用戶群。

黑客在電郵中指出帳戶已被停用或帳戶儲存空間不足，並以超連結的方式去提供解決方案以餌誘用戶進入該頁面

提供誤導資訊令用戶墮入陷阱

是次攻擊為偽裝成 Google 來自的電郵實際是垃圾郵件中在標題中標示 “Mail Notice”或“New Lockout Notice”等字眼吸引用戶注要並指出帳戶已被停用或帳戶儲存空間不足，並以超連結的方式去提供解決方案以餌誘用戶進入該頁面並提供頁面中要求的資料，從而套取用戶的帳戶資訊。Bitdefender 首席安全策略專家指 Catalin Cosoi 指當黑客取得用戶的 Google 帳戶後，黑客即可以透過受害人的帳戶在 Google Play 的上大肆購物；騎劫 Google+ 帳戶以及取得 Google Drive 的機密檔案。

發現 Google 帳戶被盜應如何處理?

近日很多讀者指信用卡被盜並用來購買了遊戲虛寶，情況非常嚴重。

要檢查自己有沒有中招，最簡單直接的方法當然是上 e-banking 檢查信用卡使用記錄。此外，其實 Google 也提供了一些方法：

Google Wallet 購買記錄

Google Wallet 有齊 Google Play 的購買記錄，盜用 Google 帳號及密碼以綁定的信用卡購物，將會在此留下痕跡，可查看有沒有不熟悉的購入項目。此外其實每次購物都會立即收到 E-Mail 通知，有綁信用卡的帳號定必要在手機同步 Gmail。

地址： https://wallet.google.com/

Android 裝置登入記錄

在 Google 的「資訊主頁」可以查看各種 Google 服務的使用資料，當中可追查所有使用過此 Google 帳號的 Android 裝置記錄。如發現有可疑的裝置，更可按「管理裝置」得知其 GPS 位置，甚至是作資料清除。

地址：https://www.google.com/settings/dashboard

最近登入活動

Google 早前曾加入「最近活動」功能，可查看各裝置的登入時間以及所進行過的活動，而且會顯示 IP 地址及 GPS 地圖，方便得知可疑登入。

地址：https://security.google.com/settings/security/activity

防被盜三式

1. 更改密碼、使用強度較高密碼

除了釣魚式攻擊，被木馬入侵也有機會洩露 Google 帳戶密碼。近期的 HEARTBLEED 漏洞讓不少網站的密碼庫外洩，如果你 google 帳戶的登入盜料跟其他帳戶相同，就很大機會被入侵。建議更改所有重要服務的密碼。此外高強度的密碼亦尤其重要，不單止是使用字數長的密碼，加入大小階、符號、非詞彙等亦重要。

▲想知自己的密碼有幾易被人破解到，可在此網頁測試一下。輸入一組與自己密碼類似的 pattern 亦可。

地址：https://howsecureismypassword.net/

2. 簡單設定 Google 兩步認證

Google 兩步認證可有效隔絕 Google 帳號被盜，因為新登入的裝置必需先經過手機認證。這樣就可以確定登入者身份是你本人，不過這個方法未必是百份百安全，尤其是 Android 手機可被木馬讀取短訊庫。

地址：http://www.google.com.hk/intl/zh-HK/landing/2step/

▲二步認證的設定很簡單，輸入手機號碼以作認證就可。

▲不需一分鐘就可在手機收到來自 Google 的 SMS。

▲輸入回網頁就可以了。

▲日後當在不同裝置登入 Google，將需要進行二步認證，從手機取得認證號碼才可登入。只有信任過的裝置才可略過此步驟。

▲以手機登入 Google 帳號時，亦需要二步認證。

▲最後也記緊設定備用方案，分別有備用電話號碼及備用驗證碼，一旦遺失手機，也有其他方法登入。

3. 使用 Google Authenticator 更方便!

除了使用 SMS 型式的 Google 二步認證之外，Google 也有提供二步認證 App 可進行類似工作。使用 App 有兩項優點，第一是不需使用 SMS 服務，到海外旅行也不怕無法登入。第二是它除了提供 Google 二步認證之外，亦同時可進行其他服務，如 Facebook、Twitter、Dropbox 等的二步認證。