Gmail欺骗行为：骗子冒充Gmail的BIMI识别码

Ahona Rudra

11个月前

阅读时间 4 分钟

由于Gmail BIMI认证系统存在漏洞，已向谷歌的18亿Gmail用户发出了新的安全警告。骗子们利用了这一安全功能，使用户处于危险之中。

本文探讨了与最近Gmail的安全案例有关的发现、缓解工作和预防方法，包括PowerDMARC在防止欺骗攻击中的作用。

发现：利用Gmail的BIMI标识符

Gmail的安全性一直是其最大的卖点之一，但最近在其最重要的安全功能之一中发现了一个重大漏洞。

上个月，谷歌推出了Gmail的BIMI检查标记系统，以帮助用户区分合法的电子邮件和那些由冒名顶替者发送的骗局。

然而，骗子们已经找到了利用这一系统的方法，把 Gmail的18亿用户处于危险之中。

作为打击网络钓鱼和冒名顶替攻击的解决方案而推出的 Gmail的蓝色验证复选标记系统以蓝色复选标记向用户展示经过验证的公司和组织。

这个想法是为了给用户灌输信心，让他们辨别哪些邮件是合法的，哪些可能是由冒名顶替者发送的。不幸的是，诈骗者已经设法操纵了这个系统。

Gmail 的网络安全工程师 Chris Plummer 是第一个发现骗子操纵 Gmail BIMI 系统。通过诱骗 Gmail 将其假冒品牌识别为合法品牌，骗子们可以绕过该系统灌输用户信心的预期目的。

Plummer立即向谷歌报告了他的发现，期望谷歌能迅速作出反应，解决这个漏洞。然而，谷歌最初将他的发现斥为 "预期行为"，在安全专家和用户中引起了沮丧。

由于普鲁姆的推文所引起的关注和随后对该问题的病毒式传播，谷歌很快就认识到了问题的严重性。该公司承认了这个错误，并将其归类为最优先的修复。

在给 Plummer 的一份声明中，Gmail 的安全团队对他坚持不懈地提高人们对这一问题的认识表示感谢。他们向他和用户社区保证，相关团队正在解决这个漏洞。

Gmail 的安全团队正在积极解决 Gmail BIMI 身份验证系统中的漏洞。他们对造成的混乱表示歉意，并承诺迅速解决问题。

修复工作目前正在进行中，Gmail的安全团队旨在让用户了解他们的评估和解决该问题的方向。在等待修复的过程中，Gmail用户必须保持警惕，在处理可疑邮件时要小心谨慎。

调查 Gmail 标识验证系统的最新进展揭示了骗子是如何利用该系统的，以及该系统对其他电子邮件服务的影响。

Gmail安全团队的调试员乔纳森-鲁登伯格（Jonathan Rudenberg）成功地在Gmail上复制了这一黑客行为，并强调其他主要电子邮件服务也容易受到类似攻击。

这一启示引起了安全界对Gmail验证方法的漏洞和实施不力的担忧。

鲁登堡发现，Gmail的邮件识别品牌指标(BIMI)的实施只需要发件人政策框架(SPF)来匹配，而域名识别邮件(DKIM)的签名可以来自任何域。

这种错误的配置允许任何共享的或错误配置的邮件服务器在一个支持BIMI的域的SPF记录中成为一个载体，在Gmail中以完整的BIMI处理方式发送欺骗性的邮件。

对其他主要电子邮件服务上的BIMI实施的进一步调查显示了以下情况：

这些发现强调了在多种电子邮件服务中加强安全措施的必要性，以防止骗子利用漏洞。

谷歌的新闻团队提供了关于Gmail验证黑客的进一步细节。该问题源于一个第三方安全漏洞，该漏洞允许不良行为者看起来比他们更值得信任。

为了确保用户安全，谷歌现在要求发件人使用更强大的DomainKeys Identified Mail（DKIM）认证标准，以获得信息识别品牌指标（蓝勾）状态的资格。

DKIM提供了一个更强大的认证水平，并有助于防止欺骗性攻击。

谷歌已向用户保证，解决该漏洞的修复方案将在本周末前全面推出。这个问题的迅速识别和解决表明谷歌对用户安全的承诺。

然而，值得注意的是，谷歌必须对在一个容易被利用的第三方服务之上建立一个验证系统负责。一些观察家已经强调了这一点，强调需要一个无懈可击的验证系统来维护用户的信任和安全。

欺骗是骗子和黑客通常采用的一种技术，目的是欺骗用户，使其相信电子邮件是来自合法来源。欺骗性的电子邮件可能会产生破坏性的后果，包括财务损失和个人信息的泄露。防止欺骗性攻击需要强有力的电子邮件认证措施。

PowerDMARC 就是这样一种解决方案，它是一个全面的电子邮件安全平台，可提供先进的防欺骗攻击保护。

PowerDMARC实现了工业标准的电子邮件认证协议，如 DMARC(基于域的消息认证、报告和一致性)、 SPF (发件人政策框架），以及 DKIM(DomainKeys Identified Mail)。这些协议一起工作，以验证电子邮件的真实性，防止未经授权的发件人欺骗合法的域名。

通过实施PowerDMARC，企业可以大大降低欺骗事件的风险，并保护他们的用户免受诈骗和网络钓鱼的企图。

PowerDMARC提供实时的电子邮件认证和报告，使企业能够监控他们的电子邮件生态系统，识别未经授权的发件人，并立即采取行动以减少风险。

最近有关该漏洞的 Gmail 安全警告强调了面对不断变化的威胁保持警惕的重要性。

虽然谷歌正在积极修复这一漏洞，但用户必须谨慎行事，并采用额外的安全措施来保护自己免受潜在的骗局。

通过利用PowerDMARC，组织可以加强他们的电子邮件安全，确保为他们的用户提供一个更安全的数字环境。保持警惕，批判性地思考，并在你所有的电子邮件互动中优先考虑安全性。

阿霍娜是 PowerDMARC 的市场经理，拥有 5 年以上的网络安全主题写作经验，擅长领域和电子邮件安全。阿霍娜拥有新闻与传播专业的研究生学位，自 2019 年以来，她在安全领域的职业生涯更加稳固。

Ahona Rudra的最新文章(查看全部)