文章总结： 黑客滥用GoogleTasks通知从[email protected]发送钓鱼邮件，绕过SPF/DKIM/DMARC与网关，诱导3000+制造企员工点击跳转至GoogleCloudStorage的伪任务页窃凭据；攻击利用谷歌高信誉基础设施与心理紧迫暗示，传统域信任与URL黑名单失效，安全方需转用上下文异常检测并重新审视邮件认证策略
综合评分： 82
文章分类： 网络钓鱼,威胁情报,云安全,安全意识,漏洞预警
黑客滥用谷歌任务通知进行复杂的网络钓鱼攻击
会杀毒的单反狗
军哥网络安全读报
2026年1月5日 09:00
湖北
导读
黑客发起了一场复杂的网络钓鱼活动，利用 Google Tasks 通知攻击全球 3000 多家组织，主要集中在制造业。
2025 年 12 月的攻击标志着基于电子邮件的威胁发生了危险的转变，攻击者不再欺骗域名或伪造电子邮件标头，而是滥用合法的谷歌基础设施。
这些钓鱼邮件来自合法的 Google 地址 [email protected]，并成功通过了所有主要的电子邮件身份验证协议，包括 SPF、DKIM、DMARC和 CompAuth。
这使得恶意邮件能够绕过依赖发件人信誉和域信任的传统电子邮件安全网关。
基于 Google Tasks 通知的攻击
这些电子邮件冒充 Google Tasks 通知，显示一个看似“所有员工任务”的内容，要求员工进行紧急验证。
收件人被提示点击标有“查看任务”或“标记为完成”的按钮，这些按钮会将他们重定向到托管在 Google Cloud Storage上的恶意页面。
网络钓鱼活动利用可信的谷歌服务
攻击者利用谷歌的应用集成服务，从合法的谷歌基础设施发送电子邮件，从而继承了谷歌的高发件人信誉和通用白名单机制。
该钓鱼页面高度还原了 Google Tasks 的品牌形象，包括熟悉的 UI 元素、合法的页脚文本和看起来很真实的号召性用语按钮。
此次攻击将受害者重定向到托管在 Google Cloud Storage (storage.cloud.google.com) 上的 URL，使得传统的基于 URL 信誉的检测方法失效。
这些信息利用了心理暗示，包括权威框架、紧迫性暗示和极简解释，诱使用户在未经仔细审查的情况下立即采取行动。这种攻击对电子邮件安全构成了根本性的挑战。
由于发件人是 Google，身份验证检查通过，域名可信，且没有可疑附件，因此传统的安全工具没有发现任何需要阻止的内容。
研究人员记录了类似的攻击活动，这些活动滥用 Google Classroom、 Google Forms和 AppSheet 来窃取凭据。
RavenMail 通过分析上下文不匹配而非依赖域名信誉来检测该营销活动。
安全平台发现，使用 Google Tasks 进行人力资源验证的行为异常，并且云存储 URL 与合法的 Google Tasks 工作流程不符。安全专家警告说，这种情况并非 Google 独有。
攻击者越来越多地滥用包括 Salesforce和 Amazon SES在内的可信平台，在合法系统中发起网络钓鱼攻击。
从基础设施层面的欺骗到工作流程滥用的转变，要求组织重新思考电子邮件安全，而不仅仅局限于传统的身份验证信号。
技术报告：
《攻击者如何滥用谷歌基础设施进行网络钓鱼》
https://ravenmail.io/blog/phishing-using-google-infra
新闻链接：
Hackers Abusing Google Tasks Notification for Sophisticated Phishing Attack
扫码关注
军哥网络安全读报
讲述普通人能听懂的安全故事
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：军哥网络安全读报 会杀毒的单反狗《黑客滥用谷歌任务通知进行复杂的网络钓鱼攻击》