看起來就是Gmail附件 為什麼點下去卻可能中毒？

(中央社財經訊息服務20261006 10:18:21)收到Email，下面出現熟悉的Gmail附件預覽框，顯示檔名、文件圖示，看起來和平常收到的附件幾乎一模一樣，你會直接點開嗎？資安研究團隊Cisco Talos近期揭露一起鎖定台灣學術界、智庫與公民社會政策社群的網路攻擊。攻擊者利用大家對Gmail介面的熟悉感，把假的附件畫面做得和真正的Gmail附件非常接近，讓收件人以為自己只是收到一份普通文件，但真正點下去之後，開啟的並不是附件，而是攻擊者控制的網址。

Cisco Talos分析發現，攻擊者利用Email可以顯示HTML內容與內嵌圖片的特性，重新做出很像Gmail附件的畫面，再把整塊假的附件包上一個連結。對收件人來說，看到的是「文件附件」；對瀏覽器來說，那可能只是一張可以點擊的圖片。

過去大家常被提醒，要注意排版奇怪、拼錯字、Logo粗糙，或一看就不像官方網站的Email。但當攻擊者直接模仿我們每天都在看的Gmail介面，「看起來很正常」本身，已經不能再當成安全的證明。

這次的手法其實不複雜，攻擊者利用Email可以顯示HTML內容與圖片的特性，重新做出一個很像Gmail附件的畫面，再把整塊假的附件包上一個連結。對收件人來說，看到的是「文件附件」；對瀏覽器來說，那可能只是一張可以點擊的圖片。攻擊者還會依照不同對象準備相對應的內容，例如研究人員可能收到政策、政治或研究相關文件，企業員工也可能收到看似合理的會議資料、活動名單或合作文件，當內容愈貼近收件人的日常工作，就愈容易讓人產生「這封信應該是真的」的直覺，而這也是魚叉式網路釣魚比一般垃圾信件更難辨認的地方。

Gmail有掃描附件，為什麼還會中招呢？Gmail會檢查附件，也會封鎖部分可能帶有惡意程式的檔案格式，但這次的手法剛好繞過了大家對「附件掃描」的直覺，因為一開始根本沒有真正的惡意附件。收件人先看到的是一個「長得像附件的連結」，點下去後才被帶往外部網站，再進入後續的下載與感染流程。因此，傳統只檢查「附件裡有沒有惡意程式」的方式，已經不足以應付所有新的釣魚手法。除了掃描附件，還需要進一步分析郵件內容、檢查其中的連結，必要時透過沙箱環境測試連結開啟後的行為，才能更完整地判斷一封郵件是否存在風險。

這次事件最後被發現會嘗試在Windows電腦植入後門程式，讓攻擊者能持續存取電腦、執行指令或傳輸檔案。一旦後門成功建立，風險就不只是「不小心下載了一個惡意檔案」。攻擊者可能進一步查看或竊取電腦中的資料、下載其他惡意程式，甚至長時間保留對裝置的控制能力。對一般使用者來說，帶來的風險可能涉及帳號、文件與個人資料；如果是公司電腦，還可能連帶影響內部資料與後續的企業系統存取。因此，真正危險的地方往往不是「點了一下」本身，而是這一下可能成為後續持續存取裝置的入口。

而要讓使用者願意點下最開始的那一下，攻擊者通常也不會只做一層偽裝。這次案例除了把連結做成Gmail附件的樣子，連寄件者身分也會一起包裝。部分攻擊郵件會冒充收件者原本信任的組織，讓一封陌生郵件看起來像是熟悉單位寄來的正常工作資料。這也是為什麼判斷郵件真假時，不能只看寄件人顯示的名稱。

Email上顯示「某某研究機構」、「某某公司」或熟悉的聯絡人，不代表郵件真的從該單位寄出。顯示名稱可以設定，真正需要確認的是完整Email地址，以及@後面的寄件網域。尤其當郵件內容又剛好符合自己的工作，例如合作單位寄來「會議資料」、「活動名單」、「研究文件」，人很容易因為寄件人熟悉、內容合理、附件也長得正常，就一路把警覺放下來。這正是魚叉式網路釣魚比較難辨認的地方：它不是隨便寄一封人人都看得出有問題的垃圾信，而是盡可能讓整封信符合「你本來就有可能收到這封信」的樣子。所以越是看起來合理的郵件，如果涉及突然出現的附件、下載或登入要求，反而值得多確認一步。除了查看完整寄件地址，也可以確認寄件網域是否和平常往來的一致。

該如何小心注意呢？收到可疑郵件，可以先確認三件事： 第一，看完整寄件地址，不要只看顯示名稱； 第二，點擊前先確認連結真正會前往哪個網址； 第三，想一下自己原本是否真的預期會收到這份文件。

詐騙手法一直在更新，有了AI的加入，仿寫信件內容、模仿語氣與製作看似合理的誘餌也變得更容易。對使用者來說，未來要判斷一封郵件是否安全，更不能只靠「看起來像不像真的」，而要回到寄件來源、實際連結，以及自己是否原本就預期會收到這份資料。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由 Cloudmax 匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成