网络安全公司Avanan的研究表明，黑客越来越多地使用Google Docs的生产力功能来将恶意内容从垃圾邮件过滤器和安全工具中溜走。
（Avanans是一家以色列云安全服务提供商，致力于保障用户的云安装安全服务，包括恶意软件防护、反病毒程序、数据泄露防护、端点安全检查、行为监控、邮件安全、防止网络钓鱼、数据加密以及其他服务。）
Avanan的Jeremy Fuchs表示，去年12月，该公司看到网络攻击者使用Google Docs和Google Slides中的评*功论**能来利用对Outlook用户的攻击。
"在这次攻击中，黑客正在向Google Doc添加评论。该注释使用 @提及目标。这样，电子邮件将自动发送到该人的收件箱。在那封来自Google的电子邮件中，包含了完整的评论，包括恶意链接和文本。此外，电子邮件地址没有显示，只是攻击者的名字，这使得这对于模仿者来说已经成熟，"Fuchs在一篇博客文章中写道。
该技术长期以来一直被网络犯罪分子使用，Google甚至在2020年发布了针对该问题的修复程序。但Avanan包含的图像显示，研究人员使用添加到评论中的恶意链接，使用Google Docs和Google Slides测试该漏洞。
"我们主要看到它针对Outlook用户，尽管不是排他性的。它击中了30个租户的500多个收件箱，黑客使用了100多个不同的Gmail帐户，"Fuchs补充道，并指出Google Docs中的电子邮件功能使扫描仪难以阻止攻击，因为电子邮件直接来自Google。
Fuchs解释说，谷歌在大多数白名单上，大多数用户都信任来自谷歌的电子邮件。反垃圾邮件功能也无法抵御攻击，因为电子邮件不使用黑客的电子邮件地址，而只使用其显示名称。没有人会知道评论是来自公司内部的某个人还是来自其他地方。
"此外，该电子邮件包含完整的评论，以及链接和文本。受害者永远不必去文档，因为有效负载在电子邮件本身中。最后，攻击者甚至不必共享文档 - 只需在评论中提及该人就足够了，"Fuchs说。
该公司指出，去年，他们报告了另一个Google Docs漏洞，该漏洞还允许黑客轻松地将恶意网络钓鱼网站传递给最终用户。
Avanan 建议用户在点击发送给您的 Google 文档评论中的任何链接之前进行多次检查。
一些网络安全专家重申，这种攻击多年来一直被网络攻击者使用，因为它非常成功。
nVisium基础设施总监Shawn Smith指出，这种攻击与许多其他网络钓鱼方法没有显着区别。
"用户应该始终警惕电子邮件中的链接 - 甚至是来自合法发件人的电子邮件 - 因为帐户可能会受到损害。在我看来，这与其说是'漏洞利用'本身，不如说是缺乏垃圾邮件预防的案例，"史密斯说。
"除了检查链接之外，用户还应该在点击之前将鼠标悬停在链接上，以确认嵌入的超链接正在将他们发送到他们期望的位置 - 而不是与链接指示的完全不同的站点。