2025年9月4日 — 在社交媒体和多家媒体放大的消息流传数小时后，谷歌（Google）对围绕“2.5亿Gmail用户被影响”的报道给出了明确回应：报道所称的规模与性质被严重夸大。
Mashable 报道引用的说法来自对一组可疑活动与凭证滥用的分析，有人将这些迹象解读为“影响数十亿账户的安全漏洞”。谷歌在声明中反驳称，公司的内部调查未发现可用以大规模入侵或绕过通用认证流程的系统性缺陷。谷歌强调，报告中把一些潜在目标人群和真实被攻破账号混为一谈，导致了“2.5亿/25亿”这样的误读。
报道细节显示，攻击者使用的多数手法更接近传统的网络钓鱼和凭证填充（credential stuffing）：通过盗取或购买的登录信息和第三方授权令牌尝试访问账户，而不是利用能够普遍适用于所有Gmail账户的零日漏洞。谷歌的安全团队指出，他们在监测到异常登录尝试时会启用风控拦截，并对可疑OAuth授权、异常地理位置登录以及频繁失败的登录请求实施限制。
对于普通用户，谷歌建议采取三项具体措施：一是打开两步验证（2FA），二是进入“Google账户”页面检查“最近的安全活动”并撤销不认识的设备或授权应用，三是对长期未更换的密码执行更新。安全研究员也提醒，攻击者常常通过模仿登录页面或伪造应用请求权限来获取访问令牌，用户在授权第三方应用时要谨慎核验来源。
尽管谷歌否认了“全网灾难性泄露”的说法，事件仍凸显出两点：其一，攻击链条中常见的社会工程与凭证滥用比“系统漏洞”更难被普通用户察觉；其二，媒体在报道安全事件时需要更精确地区分“潜在受影响用户池”与“实际被攻破的账户”。Mashable 的原文在描述中使用了可能引发误解的措辞，后续报道和社交讨论因此迅速扩大了风险感知。
安全社区对谷歌声明反应各异。一部分研究者表示欢迎澄清，认为这有助于避免恐慌式传播；另一部分则认为，这一风波应促使大型平台在透明度上做得更好——例如公布受影响的技术路径和拦截细节，以便开发者与企业安全团队更快地应对类似攻击。
本次争议并非没有价值：它提醒用户——无论是否存在“2.5亿受影响”的极端情况——都应把账户安全作为日常习惯来维护，尤其要警惕钓鱼链接、定期审查授权应用并启用多因素认证，以把凭证滥用带来的风险降到最低。