釣魚郵件是假冒銀行、主管、往來廠商或常用雲端服務寄出的信，目的是讓收件者點連結、開附件、輸入帳號密碼或匯款。辨識時看四個地方：完整的寄件地址、內容是否製造急迫感或索取敏感資訊、連結實際指向的網址，以及附件是否來路不明。收到可疑郵件不要點連結與附件，用信箱的回報功能檢舉並告知資訊窗口；已輸入密碼或匯款，就要立刻改密碼、檢查信箱規則並通報。企業端則靠郵件過濾、寄件者驗證與社交工程演練降低風險。
辨識釣魚郵件要看的四個地方
- 寄件者：顯示名稱可以隨意填，要看完整的寄件地址。Microsoft 指出攻擊者常用真實使用者名稱或網域的細微變體冒充；Gmail 在寄件者名稱旁顯示「透過」和網站名稱，代表郵件來源網域和寄件者地址的網域不符，或是從設有 DMARC 隔離、拒絕政策的網域寄到 Google 網路論壇。
- 內容：美國聯邦貿易委員會（FTC）整理的常見說法，包括發現可疑登入、帳戶或付款資訊有問題、要你確認個資、附上不認得的發票。FTC 提醒正當公司不會寄附連結的郵件要你更新付款資訊，Gmail 也不會用電子郵件詢問密碼。
- 連結：在電腦上先把游標停在連結上，看實際網址和信中說法是否相符。美國網路安全暨基礎設施安全局（CISA）把不明的短網址列為釣魚線索。
- 附件：Microsoft 舉的例子包括偽造的發票或文件附上看似鎖定、要輸入信箱與密碼才能開的檔案，這類附件不要開。
收到可疑郵件時的處理步驟
- 先不動作：不回覆，不點信中的連結與附件，也不點「取消訂閱」連結。
- 用自己的管道確認：信中提到往來的公司或認識的人時，用自己查到的電話或官網聯絡對方。遇到變更匯款帳戶或緊急請款，資安署《資安事件應變處理行動指引》要求向對方窗口二次驗證。
- 用回報功能檢舉：Gmail 在電腦上開啟郵件，點「回覆」圖示旁的「更多」圖示，選「回報為網路釣魚郵件」；Outlook 在郵件清單選取郵件，從讀取窗格上方選「報告」中的「網路釣魚」。Outlook 的回報不會封鎖寄件者，要封鎖得另外加入封鎖的寄件者清單。
- 告知資訊窗口：讓管理員確認其他同事是否收到同一封信。
- 回報後刪除：這是 CISA 建議的順序；公司要保留調查時，依資訊窗口指示處理。
已經點了連結或輸入帳密：依情況補救
- 只點了連結或開了附件：FTC 建議更新防護軟體，執行掃描並移除偵測到的項目。若出現副檔名被竄改、跳出勒索告示，資安署指引要求斷網、不要關機，以免記憶體中的數位跡證流失，後續見網路攻擊的初步應變。
- 輸入了帳號密碼：自己開啟官網或 App 登入，立即改密碼並啟用多重要素驗證，再檢查信箱的過濾器與自動轉寄規則，這兩項是資安署指引要求帳號遭盜用時立即檢視的設定。無法登入或有非授權活動時，向平台官方技術支援申訴；同一組密碼用在其他服務的，也要一併更換。
- 已經匯款或提供付款資料：立即透過金融機構的官方管道聯絡往來銀行，撥打反詐騙諮詢專線並向警察機關報案，保留郵件與往來紀錄。
對內回報與對外通報的管道
資安署指引的原則是確認或高度懷疑發生事件就通報，不待查明全貌。公司內部先指定收件窗口，例如資訊負責人或委外的資訊廠商，員工回報時附上原始郵件、收到時間與自己做過的動作。
- 台灣電腦網路危機處理暨協調中心（TWCERT／CC）：一般企業可在網站填寫一般資安通報，或用電子郵件通報；網站另設網路釣魚通報入口。
- 法定通報：資通安全管理法規定，公務機關與特定非公務機關知悉資通安全事件時，要向規定的機關通報。特定非公務機關指關鍵基礎設施提供者、公營事業、特定財團法人或受政府控制之事業、團體或機構，這些單位要依規定時限同步辦理，細節以主管機關公告為準。
企業端防護：郵件過濾與寄件者驗證
SPF、DKIM 與 DMARC 讓收件端判斷自稱來自你網域的信是否由你授權寄出，Microsoft 的反網路釣魚原則對所有雲端信箱都提供以這三項為基礎的偽造偵測。網域要先啟用 SPF 或 DKIM 才能使用 DMARC，寫法見 SPF 設定與多個寄信服務合併、DMARC 設定步驟。寄件驗證保護的是自己的網域，攔不住攻擊者用其他網域寄來的信，這部分要靠過濾：
- Google Workspace：具備 Gmail 設定管理員權限的人，可在管理控制台的 Gmail 安全性設定開啟附件、連結與外部圖片、假冒與驗證三類防護，涵蓋不受信任寄件者的加密附件、短網址背後的連結、網域偽造與員工名稱冒用，每項可選顯示警告、移至垃圾郵件或交由管理員隔離。
- Microsoft 365：所有雲端信箱都有偽造防護；使用者與網域的冒充保護、網路釣魚電子郵件閾值，以及點選時檢查網址的安全連結，屬於適用於 Office 365 的 Microsoft Defender。
帳號也要啟用多重要素驗證。美國國家標準與技術研究院（NIST）給小型企業的建議，是啟用多重要素驗證，進一步改用抗網路釣魚的驗證方式。
社交工程演練怎麼規劃與檢討
社交工程演練是寄出模擬的釣魚郵件，觀察員工會不會點連結、輸入帳密或主動回報。
- 取得授權並定範圍：寫下目的、對象、期間與觀察指標，由管理層核准並留下書面紀錄，NIST 的安全測試指南也把這列為測試前的工作。委外時在合約寫清楚寄送對象與資料處理。
- 設計情境與準備工具：情境貼近工作，例如雲端文件分享、帳單通知。以 Microsoft 的攻擊模擬訓練為例，它位在 Microsoft Defender 入口網站的「電子郵件與協作」底下，需要 Microsoft 365 E5 或適用於 Office 365 的 Microsoft Defender Plan 2 授權，可選憑證收割、惡意軟體附件等技術。
- 執行並記錄：記錄點擊、輸入帳密與主動回報的人數。
- 事後說明與補課：點了連結的人立即看到說明頁，結束後向全員說明這次的線索。
檢討時別只看點擊人數：員工願意回報，管理員才能及早處理同一波釣魚信。若上當的集中在加密附件或冒用主管名稱的信，就調整過濾設定；模擬請款信有人照做，就把匯款前的二次驗證寫進財務作業規定。情境要定期更新。
常見問題
釣魚郵件和垃圾郵件有什麼不同？
垃圾郵件是不請自來的大量廣告信，釣魚郵件則刻意假冒可信的寄件者，目的是騙取帳號密碼、個人資料或金錢。兩者都能用信箱的回報功能處理，釣魚郵件還要通知資訊窗口。
寄件地址就是同事的公司信箱，還可能是釣魚嗎？
可能。同事的帳號若被盜用，攻擊者能直接用真實信箱寄信，寄件驗證也會通過。內容要求匯款、提供帳密或安裝程式時，先用電話或當面向本人確認。
郵件說是 Google 或 Microsoft 寄的帳號通知，要怎麼確認？
不從信中的連結登入，改為自己開啟官方網站或 App 查看帳號狀態。Gmail 的說明指出不會用電子郵件詢問密碼，要求回信提供密碼的郵件可以直接回報。
社交工程演練會不會讓員工反感？
事前由主管說明目的是練習辨識與回報，不公開點名個人，點擊後立即提供說明與教材，可以降低抗拒。演練結果用來調整訓練與設定，不作為考核依據。
網域設定了 DMARC，就不會收到釣魚郵件嗎？
不會。DMARC 保護的是你的網域不被假冒寄信給別人，攻擊者改用其他網域或相似網域寄來的信，要靠收件端的過濾設定與員工的判斷擋下。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
先確認公司網域的 SPF、DKIM 與 DMARC 都已設定，再排定一次演練。京采的技術 SEO 與網站健檢服務可以協助檢查網域 DNS 上的寄件驗證紀錄，以及官網表單與系統寄信的設定，確認正當的寄信來源都能通過驗證，不會在收緊政策後被擋信。需要調整 DNS 或寄信設定時，歡迎與我們聯繫。
