Ab sofort lädt Gmail wieder an Nachrichten angehängte Bilder automatisch, sodass diese direkt in der Mail sichtbar werden. Dieser Automatismus hat schon vor einigen Jahren existiert aber damals wurde die Funktion abgeschaltet, weil sie eine Sicherheitslücke für Malware und Phishing-Attacken offen hielt. Jetzt soll das automatische Laden der Bildanhänge wieder aktiviert werden. Um dabei die Sicherheit der Nutzer zu gewährleisten, sollen die Bilddateien auf Proxy-Servern zwischengespeichert werden, von denen diese dann abgerufen und in die Mail integriert werden. Somit wird verhindert, dass sich Schadcode auf dem Computer des Nutzers verbreitet.
Die Wiedereinführung dieser Funktion wird dennoch von Sicherheitsexperten kritisiert, da E-Mails auf dieses Weise zum Beispiel zum Tracking missbraucht werden können. „Lese-Tracking“ bedeutet, dass nachverfolgt werden kann, ob der Empfänger auch wirklich die Mail gelesen hat oder nicht. Das erbrächte Personen mit zwielichtigen Absichten oder Stalkern zusätzliche Informationen.
Weiterhin könnten Angriffe automatisiert werden, da, die Bild-URL von den Google-Servern abgerufen werden und dann ganze E-Mail-Wellen mit verseuchten Bilddateien, an die Gmail-Nutzer versendet werden könnten. Es sei möglich die Schwachstellen von Web-Apps auszunutzen, was dann jeweils über die Bild-URL bewerkstelligt werden könnte. Zudem könnten die Angreifer direkt sehen, ob diese E-Mail-Konten noch aktiv sind oder nicht.
Ein Google-Sprecher bestätigte zwar, dass es möglich sei, über diese Lücke herauszufinden, ob die E-Mails gelesen wurden oder nicht, allerdings sollen die Proxy-Server dabei helfen würden, den Aufenthaltsort, den Browser User Agent, die IP-Adresse und „andere identifizierende Informationen“ geheim zu halten.
Diese Tracking-Probleme könnten aber von Google auch beseitigt werden, indem die Bilder auf den Servern erst zwischengespeichert werden, bevor der User sie liest. Dabei entsteht aber wiederum die Gefahr, dass sogenannte Distributed-Denial-of-Service-Attacken (DDoS) ausgeführt werden könnten, die sich auf Google beziehen.
Google argumentiert diese Zwickmühle betreffend, dass durch das Tracking nun wesentlich weniger Informationen abgefragt werden könnten als beim vorherigen Verfahren, als der Nutzer noch auf „Bild anzeigen“ klicken musste. Es könne lediglich festgestellt werden, ob der Account aktiv sei. Zudem wolle man den Usern selbst überlassen, welches Verfahren sie nutzen wollen und ein Umschalten zwischen den beiden Verfahren, möglich machen. Kritiker sehen dennoch die Gefahr, dass Google aus der Sicherheitslücke eventuell auch ein Geschäftsmodell machen könnte, indem ausgewählte Bilder von Google-Partnern ausgeliefert werden, die für Tracking bezahlen.
