你還在用多年前的 Gmail 密碼嗎？這下可能要趕快改了。
Google 日前正式證實，部分 Gmail 帳號遭駭客入侵，而原因就是「密碼外洩」。
不只如此，還有駭客假冒 Google 客服，用電話、Email、甚至透過 Google 自家 AI 工具展開詐騙攻擊。
密碼外洩怎麼來的？與 Salesforce 遭駭事件有關
時間回到今年 6 月，駭客組織 ShinyHunters 透過社交工程手法，騙過一名 Google 員工，取得他在 Salesforce 雲端平台上的登入權限，進而入侵 Google 在該平台上儲存的資料庫，包含客戶公司名稱與聯絡資訊。
雖然當時 Google 強調「並未導致密碼外洩」，但根據《富比士》的最新報導，Google 現已承認，駭客確實正在利用從那次事件中外洩的密碼，入侵 Gmail 使用者帳號。
Google 威脅情報小組（Google Threat Intelligence Group）在一篇部落格文章中指出：「我們認為，使用『ShinyHunters』名義的攻擊者，可能正準備升級他們的勒索手法，包含推出所謂的資料外洩網站（Data Leak Site, DLS）。」
文中還提到：「這些新手法很可能是用來加大對受害者的施壓力道，其中也包括近期與 UNC6040 團體有關、涉及 Salesforce 資料外洩事件的受害對象。」
根據 Google 的說法，冒充 IT 支援人員進行電話聯繫的手法，特別容易欺騙企業員工上當。受害者多半來自跨國企業中使用英語的分支機構。
Google 表示，已於 8 月 8 日透過電子郵件通知所有受影響的使用者。
《富比士》的報導還引用了許多資安專家的看法，包括Closed Door Security 執行長 William Wright 表示：「Google 在這波 ShinyHunters 攻擊中遭遇資料外洩，凸顯沒有任何組織能免於網路犯罪。不論是小企業還是全球頂尖科技公司，都一樣脆弱。」他補充指出，Google 的更新雖解釋了攻擊大致過程，但「未提及受影響的組織是否已被通知，若已通知，則不清楚通知時間」，這代表駭客可能已持有資料達兩個月之久。
CyberSmart 執行長 Jamie Akhtar 表示：「Google 一直是全球資安領域的領導企業之一，但即便是世界上最富有、最嚴密防護的公司，也可能遭受攻擊。」他強調，若攻擊與 ShinyHunters 勒索組織有關，則「很可能源自社交工程或人為失誤，這顯示再強大的技術防護，也無法阻擋員工誤點惡意連結，或被巧妙欺騙。」
GTIG 在公告中表示：「Google 已針對這次活動做出回應，進行了影響評估並開始緩解措施。」公告補充，受影響的資料庫是一個 Salesforce 系統，「用於儲存中小企業的聯絡資訊與相關備註」。
Lab 1 執行長 Robin Brattel 指出：「企業遭受針對 Salesforce 的網路攻擊的速度快到令人震驚。我們必須誠實面對：惡意攻擊行動的規模擴張比以往更快，駭客經常利用過去外洩資料中已公開的資訊來針對組織下手。」
Google 表示，在這段短暫的攻擊時窗內，確實有「威脅行為者擷取了客戶資料」。雖然 Google 尚未公開更多細節，但已確認被竊取的資料屬於「基本且大多數可公開取得的商業資訊，例如公司名稱與聯絡方式」。
25 億 Gmail 用戶可能都在風險範圍內
這起駭客事件牽涉甚廣，影響層面不容小覷。Google 表示：「密碼是導致帳號被成功入侵的主要原因之一。」
更令人擔憂的是，Google 本身的統計資料顯示，目前只有約 36% 的使用者會定期更換密碼。換句話說，有超過一半以上的使用者帳戶可能處於極高風險中。
Google 建議的三大保護措施
為此，Google 建議所有 Gmail 使用者「即刻採取以下措施」來保護帳號安全：
-
更換 Gmail 密碼：請使用「獨立密碼管理工具」產生與儲存新密碼，而不是依賴瀏覽器內建記憶功能。
-
啟用身分驗證器 App 作為 2FA：別再用簡訊認證，建議改用 Google Authenticator、Authy 等身分驗證 App。
-
啟用並使用 Passkey（通行密鑰）：Google 現已將通行密鑰設為預設登入方式，若登入畫面還要求輸入密碼，請提高警覺。
同時，Google 強調，避免點擊來自電子郵件中的任何登入連結，即便它看起來真的像是 Google 寄出的。
資安防線不能只靠 Google，一鍵登入也得提防
這次事件也讓人再次思考：「你的 Google 帳號不只關係 Gmail！」如果你平常使用 Google 登入 Facebook、Netflix、Dropbox 等服務，一旦 Gmail 帳號遭駭，連帶可能出現連鎖效應，造成更多帳號被盜用。
為了你的數位資產安全，不只 Gmail 密碼該換，你所有綁定 Google 的服務，也該一併檢查與更新。
請注意！留言要自負法律責任，相關案例層出不窮，請慎重發文！