海外钓鱼团伙滥用谷歌服务链路，配套仿冒域名开展批量钓鱼

近期CNCERT监测发现，境外钓鱼团伙正大量滥用谷歌服务链路，搭配仿冒企业域名开展批量钓鱼攻击。借助谷歌相关服务天然的可信属性，恶意链接更容易绕过普通安全网关检测，大幅提升钓鱼邮件、钓鱼页面的可信度。这类攻击目标广泛，面向政企机构、外贸企业以及普通办公人员，一旦员工不慎点击链接，就可能造成账号被盗、企业信息泄露等安全事件，企业网络安全压力持续加大。

一、谷歌服务加持，仿冒域名隐蔽性升级

本次钓鱼攻击最大特点，是谷歌服务链路+高仿域名组合攻击。攻击者将钓鱼页面托管在谷歌相关服务平台，生成带有谷歌域名前缀的链接，邮箱网关、浏览器安全检测容易判定为可信站点。同时攻击者批量注册仿冒企业域名，通过替换形近字母、增减字符伪造企业官网，和谷歌恶意链接配套分发。

对比传统钓鱼，该攻击有两大难点：一是谷歌服务域名信誉较高，传统黑名单很难拦截；二是仿冒域名批量快速注册，生命周期短，更新速度快。钓鱼链接通过邮件、社交工具、IM消息分发，用户看到谷歌域名会放松警惕，点开后跳转高仿页面，诱导输入账号密码、企业凭证。

二、窃取账号凭证，引发连锁安全风险

该类钓鱼攻击不以植入木马为主，核心目标是窃取员工账号、邮箱、OA、云平台等登录凭证。攻击者拿到账号后，可登录企业邮箱、内部系统，继续对内发送钓鱼邮件，开展供应链钓鱼，扩大攻击范围。

对于外贸企业，攻击风险更高。境外团伙可利用窃取的商务邮箱伪造邮件，向合作方发送虚假付款通知，造成资金被骗。账号泄露还会导致合同、客户资料、财务信息等商业机密外泄，给企业带来经济损失与声誉损害。整个攻击流程隐蔽，很多企业要等到账号被滥用后才发现入侵。

三、企业常见安全短板

从CNCERT监测案例来看，很多企业防御体系存在明显短板。

第一，邮件安全网关只拦截已知恶意域名，对谷歌旗下可信服务域名缺少页面内容检测，无法识别托管在谷歌服务上的钓鱼页面。

第二，缺少仿冒域名监测能力，无法及时发现外部注册的企业高仿域名。

第三，员工对谷歌链接盲目信任，误以为谷歌域名就一定安全，缺少钓鱼链接识别能力。

第四，缺少账号异常登录告警机制，账号被盗后不能及时发现。

四、企业落地防护方案

针对本次境外团伙钓鱼攻击，企业可落实多项防护措施。首先升级邮件安全策略，除域名黑名单外，增加页面内容检测，对托管在谷歌服务、跳转外部仿冒域名的链接做风险标记。其次启用企业域名品牌监测，持续检索仿冒企业名称的恶意域名，发现后及时处置。

然后开展全员安全培训，重点科普：谷歌域名链接也可能是钓鱼载体，不要在陌生页面输入账号密码。开启办公系统多因素认证，即使账号密码泄露，攻击者也无法直接登录。同时配置账号登录审计，监控异地、陌生设备登录行为，及时告警异常访问。

总结

境外钓鱼团伙不断更新攻击手段，依托谷歌服务的高信誉链路搭配仿冒域名，大幅降低钓鱼拦截成功率。外贸企业、政企单位需要认清这类新型钓鱼风险，不能仅凭域名信誉判断链接安全性。企业要从邮件防护、域名监测、账号安全、人员培训多维度构建防御体系，持续跟进CNCERT安全预警，及时处置新型钓鱼威胁，保护账号与核心业务数据安全。