对部分人来说，谷歌掌控着他们大部分的网络身份信息，这些关键帐户一旦有失，可能会出现灾难后果。谷歌和加州大学伯克利分校的研究者近期总结了帐户被窃的种种方式，并得出结论：钓鱼攻击（而非数据泄露）是账户访问的主要威胁。
谷歌的研究目是进一步理解账户信息的被盗方式，时间跨度为2016年3月到2017年3月的一整年。由于钓鱼、键盘记录器和数据泄露影响着每个企业，谷歌选择了自身作为深入研究案例。
该研究的撰写者Kurt Thomas和Angelika Moscicki解释道：“我们的研究结论随即被证明有用。”事实上，这些数据被用于改善6700万有危险的谷歌账户的安全状况。
谷歌收集了2.5万种用于钓鱼和键盘记录器的恶意软件的数据，这帮助研究人员识别了78.8万份键盘记录器窃取的用户凭证、1200万份钓鱼攻击窃取的用户凭证、33亿遭受数据泄露的用户凭证。
研究显示，就钓鱼和键盘记录器导致的账户遭窃事件而言，尼日利亚是最大受灾地，然后是美国、墨西哥、南非、英国和马来西亚。
安全近况恰好印证了这一发现。Office 365钓鱼攻击近期引起了首席安全官们的关注，该攻击使用被盗的账户来进一步扩展攻击面。收件箱里的很多钓鱼邮件都可以追溯到尼日利亚账户。
不管钓鱼攻击复杂度如何，它们都有一个重要功能：它们常让用户相信某处出了问题，并且看起来完全真实可信，足以骗受害者分享密码等识别信息。
据谷歌观察，有些钓鱼工具会收集更多细节，包括IP地址、设备信息、电话号码、位置——这些都是谷歌ID验证可能需要的信息。
谷歌的数据表明，80%的钓鱼工具会针对用户名、密码和地理位置，其次是电话号码和设备细节信息。部分的钓鱼工具也会收集安全问题及答案、全名、信用卡数据和社会安全号码。
据此谷歌指出，钓鱼攻击是最大的账户安全威胁，其次是键盘记录器。
数据显示，受数据泄露影响的账户中，只有7%没有修改密码，二钓鱼和键盘记录器影响的账户有12-25%的概率保留原先密码。
因此，整体来看，考虑到服务密码雷同对安全的巨大影响，数据泄露在账户威胁榜单上排名最后。
不幸的是，谷歌研究发现，钓鱼攻击的大部分受害者仍然没有意识到自己的帐户已经岌岌可危。然而，数据也揭示了一些乐观的结果，大多数受害者都只会被影响一次，只有百分之二的受害者还会二次上当。
纵观所有数据，Gmail是钓鱼攻击和键盘记录器的最大受害者，其次是Yahoo和Hotmail。钓鱼攻击的多大部分受害者都居住在美国，键盘记录器的受害者则集中在巴西和印度。
在受灾企业榜单上，商务电子邮件平台紧跟在Gmail、Yahoo、Hotmail这三家互联网巨鳄身后，如Dropbox、Google Drive、DocuSign ZoomInfo、Office 365、AOL。
该研究也指出，虽然双因素身份验证有助于减轻钓鱼攻击等问题，但它的各种问题也阻碍了广泛应用，这些问题包括易用性、恢复能力、用户对第三方的不信任。
论文下载：
https://static.googleusercontent.com/media/research.google.com/en//pubs/archive/46437.pdf
相关阅读
新型Gmail钓鱼攻击连最谨慎的用户都会中招
人工智能：阻挡多阶段鱼叉式网络钓鱼攻击的新希望
调查︱英美20%的网民仍然对钓鱼或勒索软件一无所知
