据PCWorld报道，网络犯罪分子正在利用谷歌新推出的Gmail地址更改功能，发送看似源自谷歌官方系统的、极具迷惑性的钓鱼邮件。
这些精心设计的骗局使用官方谷歌地址，并在“sites.google.com”上托管伪造的凭证窃取网站，从而能够绕过许多垃圾邮件过滤器。
用户绝不应点击邮件中的账户验证链接，应启用双重认证，并始终直接访问谷歌官方网站以查看安全警告。
本月初，谷歌开始推出一项允许用户更改其Gmail地址的新功能，而网络犯罪分子和恶意行为者已经利用了这一功能。
这项新功能允许用户的原始Gmail地址保留为别名，这样收到的邮件仍会进入同一个收件箱。该功能主要面向希望更换旧地址的用户。
安全专家现在警告称，诈骗者正专门利用这一新功能，精心制作看似真实的钓鱼邮件。这些邮件通过合法的谷歌系统发送，旨在完全控制谷歌账户。
通过模仿谷歌进行钓鱼
据安全专家称，目前正在发送的诈骗邮件声称来自谷歌，并提及所谓的Gmail地址更改或必要的安全确认。这些信息显得特别可信，因为它们是通过谷歌自身的系统发送的，并且显示真实的谷歌地址作为发件人，例如“no-reply@accounts.google.com”。
这些邮件通常会提到一项与安全相关的操作，例如激活新地址或确认您的身份。邮件中有一个链接，据称会导向谷歌支持或安全页面，但实际上用户会进入虚假网站，并被要求输入密码。
这种做法之所以特别阴险，是因为诈骗者正在使用“sites.google.com”域名，这是一个合法的谷歌服务，用于托管用户生成的网站，因此不会被许多垃圾邮件过滤器拦截。这些虚假网站被制作成模仿真正的谷歌支持页面，乍一看在视觉上似乎很真实。
如果攻击者成功接管了您的谷歌账户，后果将非常严重。不仅Gmail邮件会受到影响，所有关联的服务（如谷歌云端硬盘、谷歌相册和谷歌日历）也将被入侵。此外，如果您的谷歌账户被用于登录第三方服务（如社交网络、在线商店或金融服务），攻击者可能会引发连锁反应，并获取这些其他账户的访问权限。
安全专家此前已发出警告
安全公司Check Point Research此前曾在2025年底指出过第一波此类攻击，甚至在谷歌更广泛地正式宣布该新功能之前。
当时，攻击者滥用了一个工作流程自动化工具，通过合法的谷歌基础设施发送钓鱼邮件。谷歌表示其自身系统并未遭到入侵，但已采取了保护措施。
如何识别钓鱼邮件
尽管这些欺诈邮件看起来专业，但如果您知道要注意什么，许多还是可以被识破的。典型的危险信号包括：
非个性化的称呼，例如“尊敬的客户”，而不是您的真实姓名。
紧急的措辞和威胁，例如账户可能被暂停、删除或面临金钱损失。这种紧迫感旨在吓唬您，让您不假思索地采取行动。
要求您通过链接输入密码或其他访问数据。该链接通常会带您进入一个伪装成真实网站的虚假网站，希望您输入凭据，而这些凭据随后会被诈骗者截获。
谷歌本身建议，永远不要点击电子邮件中的链接，而是始终直接在您的账户中检查安全警告。为此，请打开浏览器并手动导航到您的谷歌账户页面，而不是点击电子邮件中的链接。真正的警告通常包含详细信息，例如设备类型、访问时间和地点。
如何保护您的谷歌账户
您能做的最重要的事情就是对未经请求的电子邮件保持健康的怀疑态度。请务必为您的谷歌账户启用双重认证——即使攻击者知道您的密码，双重认证在许多情况下也能阻止访问。
定期检查您的安全设置，使用长且唯一的密码，并且永远不要通过电子邮件中的链接输入您的登录凭据。如有疑问，请始终直接访问谷歌官方网站，登录您的账户，并检查是否确实需要采取任何操作。
新功能常常被犯罪分子滥用于网络钓鱼。因此，对于所谓的“安全消息”，即使它们看起来来自合法来源，保持警惕也非常重要。
