最近一次网络钓鱼诈骗背后的犯罪分子已经收集了所有重要的信息。绕过反病毒检查的恶意软件。一个绕过微软Office 365高级威胁防护检查的电子邮件模板。大量拥有良好声誉的电子邮件账户，可以用来发送诈骗邮件。

这是一个让骗子窃取了1000多份公司员工证书的方法。只有一个问题:骗子们把来之不易的密码藏在公共服务器上，任何人——包括搜索引擎——都可以(而且确实)将其索引。

安全公司Check Point的研究人员在周四发表的一篇文章中写道:“有趣的是，沐鸣开户测速由于攻击链中的一个简单错误，网络钓鱼运动背后的攻击者通过数十个攻击者使用的投递区服务器，将盗取的证书泄露给了公共互联网。”“通过简单的谷歌搜索，任何人都可以找到一个泄露的、被盗的电子邮件地址的密码:这是给每一个伺机而动的攻击者的礼物。”

Check Point的研究人员是在调查始于8月份的钓鱼活动时发现这些赃物的。诈骗邮件声称来自施乐或Xeros。在被劫持之前，这些电子邮件的发送地址拥有很高的声誉分数，可以绕过许多反垃圾邮件和反网络钓鱼防御。这些消息附有一个恶意HTML文件，该文件没有触发60个最常用的反恶意软件引擎中的任何一个。

当收件人被骗并登录到一个虚假的帐户时，骗子将凭证存储在几十个已经被攻破的WordPress网站上，并变成了所谓的“投递区”。这种安排是合理的，因为受攻击的网站可能比攻击者拥有的网站有更高的声誉评分。

然而，攻击者并没有将这些网站指定为谷歌和其他搜索引擎的禁区。因此，网络搜索能够定位数据，并引导安全研究人员找到被破坏的凭证的缓存。

“我们发现，一旦用户的信息被发送到dropzone服务器，数据就被保存在一个公开可见的文件中，谷歌可以索引，沐鸣开户测速”Check Point周四的帖子写道。“这允许任何人通过简单的谷歌搜索访问被盗的电子邮件地址凭证。”

基于对大约500个被破解的证书的分析，Check Point能够编译以下针对行业的细分。Check Point与另一家安全公司Otorio合作进行分析。

简单的网络搜索表明，在这篇文章发布时，一些隐藏在投递区服务器上的数据仍然可以搜索。这些密码大多采用相同的格式，因此凭证可能不属于真实世界的帐户。然而，Check Point的发现提醒人们，就像互联网上的许多其他东西一样，窃取密码的时机已经成熟。