Google推新網址名　專家憂有利網路釣魚與惡意軟體傳播活動

編譯／鄭智懷

繼Google於本月稍早推出新的八個網址名：「.dad」、「.phd」、「.prof」、「.esq」、「.foo」、「.zip」、「.mov」和「.nexus」，各路專家指出其中的「.zip」與「.mov」可能遭網路分子利用，執行網路釣魚與惡意軟體傳播活動。

事實上，自2014年，以「.zip」與「.mov」結尾的網址已經開放使用，但是在今（2023）年5月才公開允許購買、運用。但是，鑒於「.zip」與「.mov」是網路上用於分享檔案的主要形式─亦即ZIP壓縮檔和MOV 影片檔，部分網路平台與程式會將帶有上述兩項名稱的檔案自動設為下載網址。

專家指出，攻擊者可能提供與連結檔案同名的「.zip」與「.mov」網址，上傳至Twitter等平台，受害者誤會其來自可信任來源，點擊後就落入網路釣魚網站，或是直接下載惡意軟體。

資安公司Silent Push Labs指出，上述論點已經證實可行。譬如「microsoft-office.zip」就是專門竊取用戶Microsoft 帳戶憑證的網路釣魚網站。

部分論者認為，「.zip」與「.mov」網址為目前充斥威脅的網路空間增添更多不必要的風險，因此主張將兩者直接刪除、停止使用；另一批人則指出，上述網址的風險明顯遭到渲染與誇大。例如Google就表示，檔案名稱與網址的混淆現象早已出現，目前的瀏覽器技術也具備相應的緩解措施以保護用戶的安全與隱私。

網路媒體《BleepingComputer》建議，雖然無須採取額外的動作防止受到上述手法的侵害，但是網路用戶仍應在點擊任何連結或下載軟體前確認其安全性。假使無法確認，切勿點擊，避免增加不必要的資安風險。

資料來源：BleepingComputer、Google

瀏覽 532 次