Casa 联合创始人 Jameson Lopp 警告，一起钓鱼活动正通过 Google 自身的系统发送虚假邮件，滥用该公司的基础设施使邮件看起来真实可信。

加密货币持有者面临的风险最大，该骗局依靠伪造的登录页面来窃取密码及其他敏感数据。

一封从 Google 本身发出的诈骗邮件

Lopp 在周四发布于 X 的一则帖子中表示，该活动是一个旧骗局的新变种，目前正在传播。他附上了诈骗邮件的截图，显示该邮件经由 Google 的真实服务器发送。

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

根据该帖子，任何点击邮件内链接的人都会被引至一个钓鱼登录页面。

这并非 Lopp 首次指出 Google 系统被滥用。今年 5 月，他曾曝光一起滥用 Google 账户恢复表单的骗局：攻击者在表单中输入了一段非常长的内容，顶部放置看似真实的提示信息，而诈骗链接则被置于大量空白之后、远离顶部的位置。在本次事件中，警告信息同样是通过 Google 的真实账户系统送达的。综合来看，这些事件表明攻击者反复借助 Google 的合法功能来实施诈骗，而非伪造公司身份，从而削弱了收件人判断邮件真伪最常用的依据。

Check Point 记录了类似攻击活动

安全公司 Check Point（NASDAQ: CHKP）发现了一起攻击活动，该活动滥用了 Google Cloud Application Integration 工具中的“发送邮件”（Send Email）功能。2025 年 12 月的两周内，攻击者向约 3,200 家组织发送了 9,394 封邮件。由于这些邮件来自真实的 Google 地址 noreply-application-integration@google.com，因此通过了 DMARC 和 SPF 验证——这两项验证通常向接收方邮件服务器表明邮件是真实的。DMARC 和 SPF 是邮件服务商用来确认邮件确实来自发件人地址所示域名的行业标准协议，因此同时通过这两项验证对垃圾邮件过滤器和收件人都具有重要分量。

点击邮件中链接的收件人会先被引导经过多个受信任的 Google 网址。随后，他们会看到一个旨在阻止自动化安全扫描器的伪造 CAPTCHA 页面，最终落入一个并非由 Microsoft 托管的伪造 Microsoft（NASDAQ: MSFT）登录页面。

Google（NASDAQ: GOOGL）告诉研究人员，它已阻止这些攻击活动，并表示问题源于对一款自动化工具的滥用，而非其系统遭到入侵。据报道，类似的骗局还曾通过 Google Meet、DoubleClick、Google Analytics 及其他服务实施。这种反复出现的模式意味着，一封邮件即使通过所有技术信号验证为“合法”，仍可能将用户引向恶意页面，尽管 Google 坚称其自身系统并未被入侵。

加密货币持有者为何频繁成为攻击目标

加密货币交易所用户和钱包持有者被认为尤其容易暴露，因为伪造登录页面可用于窃取密码、会话数据或双因素验证码。其风险在结构上也高于传统金融：加密资金的欺诈性转账一旦在链上确认，通常无法撤回，凭证被盗后几乎再无追回余地。

这一警告发布之前，Cryptopolitan 本周报道了另一起事件：骗子利用从 Cloudflare（NYSE: NET）泄露的 API 密钥，通过 Foundation 自己的域名发送邮件。一些收件人表示，他们收到的诈骗邮件包含真实的个人信息，包括姓名、地址以及过去的 Passport 购买记录。Foundation 随后撤销了这些密钥，并表示其设备上的资金是安全的。

从更广泛的层面来看，Binance 表示，2026 年第一季度共拦截了 2,290 万次诈骗和钓鱼攻击尝试，较上一季度增长 54%，并保护了约 19.8 亿美元的用户资金——这一速度表明，即使个别攻击活动被陆续制止，钓鱼攻击仍是该行业最持久的攻击向量之一。