我們中的大多數人不會過多地考慮我們的電子郵件上的”發件人”地址欄，它通常是由郵件程序或網絡服務填寫的。在收件人的一端，安全工具可以對照發送服務器檢查這個地址，以驗證郵件是否合法。但服務器和收件箱之間的SMTP中轉服務器會允許郵件通過，即使地址不匹配，這就是為什麼一些營銷組織可以在不被阻止的情況下發送群發郵件。

而Gmail恰好有SMTP中轉設施，使得通過Google服務器發送非Gmail郵件成為可能。Avanan公司的研究人員發現，黑客正在操縱Google的服務，偽裝成有信譽的品牌，發送成千上萬的電子郵件，繞過安全工具，直接進入用戶的收件箱。黑客正在利用GoogleSMTP中繼服務的一個缺陷來發送釣魚郵件，這些郵件更有可能不受干擾的情況下到達被騷擾者的收件箱中。Avanan公司觀察到此類攻擊的數量大量增加，在4月的短短兩週內就有超過27000封此類郵件經由這種方式發送。

Google於4月23日被告知該漏洞。為了防範攻擊，安全研究人員建議在與任何電子郵件互動之前檢查發件人地址，使用電子郵件安全解決方案，使用多種指標來確定郵件是否是惡意的，並且在點擊任何鏈接之前，總是將鼠標懸停在其上，以查看目標URL。

了解更多：

https://www.avanan.com/blog/the-gmail-smtp-relay-service-exploit