科学研究工作人员发觉，攻击者已经利用Google Docs的评论作用，在对于Outlook客户的钓鱼攻击主题活动中推送故意连接。
网络信息安全研究者Jeremy Fuchs在周四发布的一份报告书中写道，CheckPoint企业主打产品的电子邮箱合作和安全性企业的分析工作人员在12月初次观查到了规模性网络黑客利用谷歌文本文档的评论作用开展攻击的发展趋势。
Fuchs写道，Avanan初次发觉谷歌文本文档、表格和ppt的评论作用可被用于推送垃圾短信，但到现在为止，谷歌并未对该问题做出其他回复。
他在汇报中写道，从那以后，这一给定的系统漏洞都还没被谷歌彻底关掉或开展修补。
汇报称，到现在为止，攻击者根据利用谷歌基于云空间的文本编辑应用软件的作用，早已攻击了30个客户的500好几个发件箱，来源于100好几个不一样的Gmail帐户。
攻击者对于谷歌文本文档的客户，在文本文档中加上评论，用"@"提及总体目标客户，进而全自动向此人的发件箱推送一封电子邮件。Fuchs说，这封来源于谷歌的电子邮箱包含文字和故意连接。
汇报中还包含了一个应用同样方式对于谷歌ppt(该模块的演试应用软件)开展攻击的事例。
躲避检验
Fuchs强调，有很多缘故使受害人无法鉴别这些评论后发给她们的电子邮箱是故意的。最先，发件人的电子邮箱地址沒有表明，仅有攻击者的名称，这就促使犯罪分子可以假冒合理合法的实体线来攻击受害人。
他写道，这类攻击也让垃圾邮件过滤过滤装置更难分辨电子邮件的安全系数，乃至连最后的消费者也难以鉴别出去。
例如，网络黑客可以构建一个完全免费的Gmail帐户，如
他强调，评论区中的故意攻击难以被发觉的，由于终端产品用户并不了解评论是来源于
Fuchs写道，它只要说'Bad Actor'在下列文档的评论中提及了你，假如Bad Actor就是你的一个朋友，它便会看起来很可靠。
该电子邮箱还包括了完善的评论內容，及其连接和文字，这代表着受害人始终不用去看看文档，由于有效载荷便是电子邮箱自身。
最终，攻击者乃至不用共享文档，只需在评论中提及这个人就充足了。
Fuchs写道："这些普遍的电子邮件保障措施不容易去标识这种电子邮箱，由于通告是立即来源于谷歌，而谷歌在大部分的'容许名册'上，而且得到客户的信赖。实际上，他说道高級危害防御系统在其扫描仪中就早已忽视了这一攻击媒介。”
谷歌文本文档做为攻击面
科学研究工作人员说，这一攻击主题活动好像在预兆着利用谷歌合作应用软件的评论作用开展故意攻击的行动在持续提升，如果不进行劝阻，这种攻击很有可能会坚持下去。
6月，Avanan科学研究工作人员初次发觉危害攻击者在谷歌文档中开展垂钓攻击，文档中包括了致力于盗取受害人凭据的故意连接。那时候，她们觉得它是对一个新的手机应用程序的攻击利用。
随后，如前所述，科学研究工作人员在10月初次发觉危害者利用评论作用，然后是12月开展的很多攻击。这种攻击在1月3日汇报给了谷歌，內容为”根据谷歌的内嵌专用工具，利用从而造成的电子邮箱开展垂钓。”
Avanan提议客户在点一下Google Docs评论以前，认真仔细评论中的电子邮箱地址，保证它是正规的。依据该汇报，她们还提议客户在核查评论时培养优良的安全性习惯性，认真仔细连接和查验英语的语法。
Fuchs提议："假如不确定性是不是安全性，请立即联络合理合法的发件人，确定的确是她们有心推送的。"
他填补说，安全性专业技术人员可以根据布署安全性保障措施来预防对于共享文件和全部合作应用软件模块的攻击。
文中翻譯自：https://threatpost.com/attackers-exploit-flaw-google-docs-comments/177412/倘若转截，请标明全文详细地址。