昨日，美國突然出現一波假扮Google Docs的釣魚電郵攻擊，大公司如Buzzfeed、The Verge亦收到同一封可疑電郵！分享預防和急救方法前，先綜合不同受害人及媒體的報告，分享詳細攻擊流程：
1. 受害人會收到一個Google Docs電郵，要求你登入以檢閱文件
受害人會收到一封正正常常的Google Doc電郵，寄件者還是自己的朋友！（圖：Twitter帳戶 @zeynep）
2. 登入後，你會看到一個自稱為 “Google Docs” 的程式要求取得帳戶聯絡人、管理及收發電郵的權限。
（圖：Twitter帳戶@zachlatta）
3. 一旦獲得允許，就等同大開中門，任由罪犯利用你的帳戶，甚至可以更改密碼！
4. 罪犯取得你的聯絡人資料，並以你的名義向他們發出同一封Google Docs電郵，擴散攻擊
GIF版本說明：
Phishing (or malware) Google Doc links that appear to come from people you may know are going around. DELETE THE EMAIL. DON'T CLICK. pic.twitter.com/fSZcS7ljhu
— Zeynep Tufekci (@zeynep) 2017年5月3日
是次攻擊有別於之前，之前數次都是配合HTTPS和仿Google登入頁面製成釣魚網站，今次的Google登入頁面卻是真的！罪犯「開發」了一個第三方程式，然後循正常程序，就像你使用Dropbox等程式一樣向你索取權限，讓它進一步「提供服務」。只是，這個第三方程式「剛剛好」又是名為 “Google Docs”，又「剛剛好」由不法之徒管理！
如何提防、如何急救
Google收到消息後，已經馬上叫停這個假 “Google Docs”程式。不過求人不如求己，倒不如學懂自己提防：
1. 放大雙眼
查清楚收、發郵件的電郵地址，或者在打開Google Docs前先透過電話、WhatsApp問一問寄件者文件的內容，確認對方真的有意寄出該封電郵。另外，今次的攻擊也未臻完美，細心一點也可以看出端倪：
1. 收件人名字極其古怪
2. 開發者的Gmail明顯不是官方帳戶，而且受害者會被重新導向至假域名googledocs.g-docs.win；真正的Google Docs網址應為docs.google.com/
2. 檢查帳號權限
趁這個機會，檢查一下自己已連結到您帳戶的應用程式，查看已開放的權限：
https://myaccount.google.com/permissions
發現可疑或不認識的程式，馬上移除吧！
點擊上方的連結後，檢查清楚自己已連結上的程式
每個項目都可以點擊查看詳細資料，發現不妥，馬上按Remove移除！