什么才是 Google 帐户安全的最大威胁？

过去一年的安全热点可能更多集中在勒索软件上，但是我们也不要忘了那些多达十亿级的密码泄漏事件。

包括 Google 和加州大学伯克利分校的研究人员在内都试图缓解这一现状，他们共同分析了网络犯罪分子是如何通过操控地下市场来进行个人凭证的窃取、使用以及变现。

在分析过 16 年 3 月至 17 年 3 月间的地下黑市活动及由此带来的对 Google 账户安全性的影响后，研究人员表示他们很想知道这些键盘记录工具、网络钓鱼工具和非法售卖的数据是如何转换成有效的 email 凭证的，以及如何在此基础上进一步控制用户的线上身份。

研究发现相关的状况并不乐观，Google 在本届 ACM CCS 上发表的论文指出，有 7％ 到 25％ 的泄露密码与受害者的 Google 帐户是匹配的。且据研究人员估计，在黑市交易中共有 19 亿条的用户名和密码记录是由泄露得来的，再加上 1240 万条由钓鱼工具得到的数据和 788,000 条来自键盘记录工具的数据，因此总体形势还是非常严峻的。

同时，Google 在一篇相关 blog 中表示：“由于仅通过密码并不足以访问受害者的 Google 帐户，可能还需要进行其它的验证，所以越来越多的攻击者会尝试收集验证帐户身份时可能被要求提供的那些敏感信息。我们发现 82％ 的黑客钓鱼工具和 74％ 的键盘记录工具会试图收集用户的 IP 地址和具体位置，另有 18％ 的工具会收集受害者的手机号码以及设备的具体型号。”

Google 继续说道：“通过对影响用户的风险进行评级，我们发现其中网络钓鱼是最具威胁的，其次是那些键盘记录工具，最后才是来自第三方的数据泄露。”

至今网络钓鱼依然是安全领域最成功的利用方式之一，十多年来基于该技术的成功案例可以说是比比皆是。

Google 还表示，目前这些泄露数据已经被用到加强 Gmail 的安全性防护上了。

最后，研究人员补充道：“我们的研究成果阐述了地下产业在个人凭证窃取方面给全球带来的影响，并向用户说明了密码管理以及开启账户两步验证的重要性。”

原文链接：https://threatpost.com/phishing-biggest-threat-to-google-account-security/128859/

本文由看雪翻译小组 BDomne 编译

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)