一場涉及超過1.83億個電子郵件密碼的大規模數據洩漏事件震驚網路安全界，其中包括數千萬個與Gmail帳戶相關的憑證。網路安全分析師稱這是迄今為止發現的最大規模憑證傾銷之一。這批高達3.5兆位元組的被盜數據於本月在網上曝光，主要源於「資訊竊取者」（infostealer）惡意軟體網路從受感染設備中秘密竊取用戶名、密碼和網站地址。儘管谷歌（Google）澄清這並非Gmail系統直接被入侵，但此次洩漏對全球用戶的數位安全構成嚴重威脅，尤其可能導致「憑證填充」攻擊。
洩漏源頭與數據規模
據經營洩漏通知網站Have I Been Pwned的澳洲安全研究員亨特（Troy Hunt）透露，這些數據是從惡意軟體網路對「資訊竊取者」平台長達一年的掃描中收集而來，包含竊取者日誌和憑證填充列表。新的數據集涵蓋1.83億個獨立帳戶，其中約1640萬個是首次在任何洩漏事件中出現的全新地址。安全公司Synthient指出，這些記錄來自犯罪市場和地下Telegram頻道，駭客在此批量分享被盜憑證。雖然多數條目是舊洩漏的回收，但數百萬個新受損的Gmail帳戶已獲驗證，顯示其密碼仍與活躍憑證匹配。
谷歌回應與潛在風險
谷歌發言人澄清，關於Gmail安全「洩漏」影響數百萬用戶的報導「完全不準確和錯誤」，強調這是資訊竊取者活動，而非針對特定平台或個人的直接攻擊。然而，網路安全專家警告，許多用戶習慣在不同網站重複使用密碼，這使得攻擊者能夠利用「憑證填充」技術，透過被盜的用戶名-密碼組合滲透受害者的整個數位生活，從雲端儲存、銀行業務到社交媒體無一倖免。
專家建議與預防措施
全球網路安全專家敦促Gmail及其他受影響的電子郵件用戶立即採取行動。亨特建議，受影響用戶應立即更改電子郵件密碼，並啟用雙重認證（two-factor authentication）。英國安全分析師蒂格斯（Michael Tigges）強調，應避免跨服務共享憑證，並建議使用加密的密碼管理器而非瀏覽器來儲存密碼。谷歌也鼓勵用戶開啟兩步驟驗證並採用通行密鑰（passkeys），並在檢測到大規模憑證傾銷時自動提示重置密碼。
長期威脅與自滿警示
研究人員指出，大多數被盜憑證可能透過虛假軟體下載、網路釣魚附件或瀏覽器擴充功能獲取，受害者往往對設備感染毫無察覺。因此，預防是關鍵，包括確保防毒軟體更新、從信譽良好的來源下載軟體。儘管此次數據傾銷規模空前，但亨特強調，真正的威脅來自於用戶的自滿。專家警告，攻擊者可能會在數月甚至數年內利用這個龐大的資料庫，將經過驗證的Gmail登錄資訊出售給詐騙網路，持續對用戶構成威脅。
常見問答
Q1：如何檢查我的電子郵件帳戶是否在此次洩漏中受損？
A1：您可以訪問HaveIBeenPwned.com網站，輸入您的電子郵件地址進行查詢。如果您的帳戶被標記，該網站會提供洩漏的日期和性質。
Q2：如果我的帳戶被確認受損，我應該怎麼做？
A2：您應立即更改受影響電子郵件帳戶的密碼，並啟用雙重認證。同時，檢查其他使用相同密碼的線上服務，並更改這些密碼。考慮使用密碼管理器來生成和儲存獨特的強密碼。
Q3：這次洩漏是Gmail系統被直接入侵嗎？
A3：谷歌已澄清，這並非Gmail系統被直接入侵。這些憑證主要是透過「資訊竊取者」惡意軟體從用戶受感染的設備中竊取的，而非針對Gmail平台的直接攻擊。
封面來源：Adobe Stock
