硅谷，2025年8月23日讯——全球最依赖的数字平台之一Google，正陷入一场前所未有的资安风暴。
据内部消息与多家安全研究机构证实，黑客组织 ShinyHunters 于今年6月透过Salesforce云端平台攻陷Google的用户资料数据库，至少25亿Gmail用户的关键身份信息已遭窃取，这是近十年来影响规模最大、潜在后果最广的资料外泄事件之一。
尽管Google在8月初低调发布博客声明，强调“敏感密码信息并未遭到泄露”，但资安界普遍质疑该说法的可信度。因为网络上已出现多起疑似由该漏洞引发的“社工攻击”案例，包括大量“钓鱼电话”、虚假简讯和伪造验证请求。
黑客如何攻入？
据英国《每日邮报》与多位安全专家披露，ShinyHunters透过一名Google员工遭社交工程手法欺骗后获取登入凭证，成功渗透Salesforce平台，取得了Google透过该平台存储的大量客户数据。
资安专家詹姆斯·奈特（James Knight）表示，此次攻击手法融合了“vishing（语音钓鱼）+ 悬空桶探测+密码喷洒攻击”，展现出黑客组织对大型企业内部流程和云基础设施的深刻了解。
“他们不是在打穿一个防火墙，而是逐层引诱、重组，逐步渗透整个用户数据生命周期中的多个脆弱点。”奈特指出。
据称，攻击者还利用“悬空桶”（Dangling Bucket）技术，寻找未被废弃却未更新的Google旧API与存储桶接口，进而潜入内部环境。
暗网上的数据交易与Gmail骗局
虽然Google尚未公布被盗数据的具体内容，但社交媒体上已有多位用户回报——收到来自“+1 650”号码的来电，冒充Google客服试图诱导用户重设密码或提供两步验证码。
奈特警告，这种结合电话、简讯与电子邮件的多渠道钓鱼手段，是近年来网络犯罪的主要升级方向。
“对黑客而言，25亿个Gmail地址是一笔黄金资产。他们会结合数据库里的联系信息、公司记录与IP分布，执行定向社工攻击，锁定企业高管、银行客户和政府用户。”
部分安全论坛亦发现，疑似从本次攻击中泄露的数据包，已开始在暗网进行限量销售。
Google沉默、用户恐慌
截至目前，Google仅表示“正在积极调查相关事件”，并未提供具体用户通知、补偿或系统升级时间表。
“Google一向以‘全球最安全的科技公司’自诩，但这次暴露的，是他们在云端合作伙伴管理上的盲点。”网络政策专家艾米莉·贾尔曼（Emily Jarman）批评道。
更令人担忧的是，用户对Google账号的依赖已渗透进金融、健康、工作、社交等各类系统，一旦帐号被劫持，其个人生活将如同“裸奔”。
用户应立即采取这三项自保措施
针对可能遭遇Gmail账号入侵风险，奈特等多位专家建议用户立刻采取以下三项措施：
- 启用多重身份验证（2FA）：尤其推荐使用安全密钥（如YubiKey）或内建于智能手机中的“密码密钥”（Passkeys）功能。
- 更改密码并避免重复使用：避免使用生日、123456、password等易破解密码，建议启用密码管理器生成高强度组合。
- 执行Google“安全检查”功能：清查所有已登录设备、第三方应用权限、密码泄露历史等。
此外，若近期曾接获来自“Google”客服的陌生来电、短信或电邮，请立即中止通话，避免点击任何链接，并举报可疑行为。
更深的信任危机
这起事件不仅是一次技术上的失败，也对Google品牌的长期信任构成挑战。
在全球科技公司试图拥抱AI、推动用户全面云端化的同时，此类事件凸显出数据主权、安全责任界限与用户告知权的长期灰区。
对于这家以“Don’t Be Evil”为早年座右铭的科技巨头而言，修复信任，或许比修补系统更为艰难。
加拿大家园论坛 