网络窃贼通过 Gmail 漏洞瞄准 Robinhood 用户，规避标准安全协议

使用 Robinhood 的投资者发现自己收到了令人信服的网络钓鱼电子邮件，这些电子邮件似乎源自该平台的官方邮件服务器。这些欺骗性消息提醒收件人来自未知设备的可疑登录活动，并提供一个可点击的按钮，将他们引导至欺诈性登录门户。新消息：Robinhood 警告称，周日通过滥用帐户创建流程发送了来自noreply@robinhood.com 的虚假“您最近登录 Robinhood”的电子邮件 – 删除并避免链接 pic.twitter.com/NUATOZMEwh — DEGEN NEWS (@DegenerateNews) 2026 年 4 月 27 日有关此攻击的报告周末在社交平台上出现，许多用户发布了欺诈通信的证据。网络安全专家 Alex Eckelberry 证实，该活动并非由数据泄露引起。相反，它利用了两个不同的漏洞：Gmail 处理电子邮件地址中点字符的方式以及 Robinhood 用户注册系统中的安全漏洞。 Robinhood 的电子邮件服务 SendGrid（不在 𝕏 🤦‍♂️ 上）@twilio 被黑客攻击或以某种方式验证了 robinhood.com 域，发送网络钓鱼电子邮件 @RobinhoodApp @AskRobinhood 收到：来自 http://o2.email.robinhood.com (http://o2.email.robinhood.com。[50.31.40.73]) pic.twitter.com/keMphoUU1y — David Gobaud (@davidgobaud) 2026 年 4 月 27 日 Gmail 的电子邮件系统忽略地址用户名部分中的句点。这意味着“jane.smith@gmail.com”和“janesmith@gmail.com”都会发送到同一个邮箱。另一方面，罗宾汉将这些视为不同的账户。欺诈者利用了这种差异，使用目标用户 Gmail 地址的点更改版本来建立 Robinhood 个人资料。这触发了 Robinhood 的自动通知系统，将电子邮件直接发送到合法所有者的收件箱。为了将恶意 URL 注入到这些系统生成的电子邮件中，攻击者在帐户注册过程中将 HTML 标记插入到可选的“设备名称”输入字段中。 Gmail 的电子邮件客户端将此 HTML 解释为合法的格式代码。该技术产生了一条来自“noreply@robinhood.com”的真实消息，该消息显示了带有功能性网络钓鱼按钮的欺诈性安全警告。该电子邮件已成功根据所有传统电子邮件身份验证机制进行验证。根据埃克尔伯里的说法，仅仅访问假冒网站不会危及用户帐户。仅当受害者在欺诈页面上输入凭据或敏感信息时，实际威胁才会出现。 Robinhood 在 X 上的客户支持团队周一承认了这一情况。这些恶意电子邮件的主题是“您最近登录 Robinhood”。该金融服务公司澄清说，该事件源于对其注册工作流程的利用，而不是其基础设施的安全漏洞。该公司强调，没有客户信息或金融资产受到损害。 Robinhood 建议用户立即删除可疑电子邮件，并避免与任何可疑链接进行交互。那些已经点击的人被指示只能通过经过身份验证的应用程序或官方网站联系 Robinhood 的支持团队。在此事件发生之前，区块链安全公司 Hacken 发布了一份报告，指出网络钓鱼和社会工程是 2026 年第一季度加密货币领域的主要威胁媒介。Hacken 的分析显示，这些攻击方法仅在今年第一季度就造成了约 3.06 亿美元的损失。截至目前，Robinhood 尚未公开披露此次安全事件后对其账户注册协议的任何计划修改。