文章来源：https://securityaffairs.co

原文链接：

https://securityaffairs.co/wordpress/126375/hacking/google-docs-comment-phishing.html

专家警告说，一种新的网络钓鱼技术会滥用 Google Docs 的评论功能来发送来自合法来源的电子邮件。

去年 12 月，安全公司 Avanan 的研究人员发现了一项主要针对 Outlook 用户的网络钓鱼活动，该活动使用一种新技术滥用 Google Docs 的评论功能发送恶意消息。

攻击链非常简单，攻击者使用他们的 Google 帐户创建一个 Google 文档。威胁行为者向 Google Doc 添加了一条评论，该评论使用“@”指代目标，以自动发送来自 Google 的消息。评论内容包括恶意链接，但不显示电子邮件地址和攻击者姓名。

Google 会向目标的收件箱发送一封通知电子邮件，以通知其对提及他们的文档的新评论。

“在这次攻击中，黑客正在向 Google Doc 添加评论。注释用@ 提及目标。通过这样做，电子邮件会自动发送到该人的收件箱。在那封来自谷歌的电子邮件中，包含了完整的评论，包括不良链接和文本。此外，没有显示电子邮件地址，只显示攻击者的名字，这让冒充者变得成熟。”阅读 Avanan 发表的分析。

这些电子邮件是从 Google 基础设施发出的，因此，安全解决方案不会将它们标记为恶意的。

谷歌评论钓鱼

该技术还适用于 Google Slide 和 Google Workspace 服务的其他组件。

在专家跟踪的网络钓鱼活动中，威胁行为者利用 Google Docs 和其他 Google 协作工具来针对 30 个租户的 Outlook 用户。攻击者使用了 100 多个不同的 Gmail 帐户。

为避免成为这种网络钓鱼技术的受害者，专家建议：

• 在点击 Google Docs 评论之前，鼓励最终用户交叉引用评论中的电子邮件地址以确保它是合法的

• 提醒最终用户使用标准的网络卫生，包括检查链接和检查语法

• 如果不确定，请联系合法发件人并确认他们打算发送该文件