Casa 共同創辦人 Jameson Lopp 警告，一場釣魚攻擊正透過 Google 自家系統發送假郵件，濫用該公司基礎設施使郵件看起來像真的。

加密貨幣持有人在此騙局中面臨的風險最高，該騙局依靠假冒登入頁面竊取密碼與其他敏感資料。

釣魚郵件為何能從 Google 本身發出

Lopp 週四在 X 上發文表示，這場攻擊是某個舊騙局的新版本，目前正在進行中。他附上一張詐騙郵件的截圖，顯示該郵件確實是透過 Google 的真實伺服器發送。

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

根據該貼文，任何點擊郵件中連結的人都會被導向一個釣魚登入頁面。

這並非 Lopp 第一次揭露 Google 系統遭到濫用。今年 5 月，他曾指出一個濫用 Google 帳號救援表單的騙局：攻擊者在表單中填入非常長的訊息，將看似真實的通知放在頂部，並在大量空白之後、遠低於通知處放置詐騙連結。這次事件中的警告訊息同樣是透過 Google 真實的帳號系統發送。綜合來看，這些案例顯示攻擊者反覆利用 Google 的合法功能來傳遞詐騙訊息，而非偽造公司身分，從而削弱了收件人判斷郵件真偽最常用的方式。

Check Point 記錄了類似的攻擊行動

資安公司 Check Point（NASDAQ: CHKP）揭露了一場攻擊行動，濫用 Google Cloud Application Integration 工具的「Send Email」功能。在 2025 年 12 月的兩週內，攻擊者向約 3,200 個組織發送了 9,394 封郵件。由於郵件來自真實的 Google 地址 noreply-application-integration@google.com，因此通過了 DMARC 與 SPF 驗證——這些驗證通常用來向收件郵件伺服器表明訊息是真實的。DMARC 與 SPF 是郵件供應商用來確認訊息確實來自寄件地址所示網域的業界標準協定，因此兩項驗證同時通過，對垃圾郵件過濾器與收件人都具有相當大的分量。

點擊連結的收件人會先經過數個受信任的 Google 網址，接著看到一個旨在阻止自動化資安掃描器的假 CAPTCHA 頁面，最後被導向一個並非由 Microsoft 託管的假冒 Microsoft（NASDAQ: MSFT）登入頁面。

Google（NASDAQ: GOOGL）向研究人員表示已封鎖相關攻擊行動，並稱問題源自自動化工具遭濫用，而非其系統遭到入侵。據報導，類似的詐騙也曾透過 Google Meet、DoubleClick、Google Analytics 及其他服務進行。這種反覆出現的模式意味著，一封郵件即使所有技術訊號看起來都合法，仍可能將人導向惡意頁面——儘管 Google 堅稱其自身系統並未遭到入侵。

為何加密貨幣持有人經常成為目標

加密貨幣交易所使用者與錢包持有人被認為風險特別高，因為假冒登入頁面可用來竊取密碼、工作階段資料或雙重驗證碼。相較於傳統金融，風險在結構上也更高：加密資金一旦在鏈上確認，詐騙轉帳通常無法逆轉，憑證被竊後幾乎沒有追回的餘地。

在這項警告之前，Cryptopolitan 本週報導了另一起事件：詐騙者利用從 Cloudflare（NYSE: NET）洩漏的 API 金鑰，從 Foundation 自身的網域發送郵件。部分收件人表示，收到的詐騙郵件包含他們的姓名、地址與過往 Passport 購買紀錄等真實個人資料。Foundation 事後已撤銷相關金鑰，並表示其設備上的資金安全無虞。

更廣泛來看，Binance 表示在 2026 年第一季封鎖了 2,290 萬次詐騙與釣魚攻擊，較前一季增加 54%，並保護了約 19.8 億美元的用戶資金——這樣的頻率顯示，即使個別攻擊行動陸續被關閉，釣魚攻擊仍是業界最頑固的攻擊途徑之一。