電子郵件仍是惡意程式、勒索軟體、釣魚攻擊的**頭號傳遞管道**。Verizon DBIR 報告指出超過 90% 的資安事件起始於郵件。本文提煉三大核心防護鐵律，並補充進階技術防禦層，構建多層次郵件安全防線。

🛡️ 三大核心防護鐵律 (人員端)

1. 不開： **任何附件 (含認識寄件者) 先不點擊開啟**。勒索軟體常竊取通訊錄回覆郵件、偽造內部往來郵件。心態：「預設不信任」。
2. 先掃： 附件**先下載 → 以殺毒軟體/線上多引擎掃描 (VirusTotal, MetaDefender) → 確認無毒再開啟**。針對高風險副檔名 (.exe, .scr, .bat, .cmd, .vbs, .js, .jar, .msi, .iso, .img, .lnk, .zip, .rar, .7z, .pdf) 必掃。
3. 驗證： **核對寄件者真實郵件位址 (非顯示名稱)、檢視郵件標頭 (Message-ID, Received 鏈、SPF/DKIM/DMARC 結果)**。常見詐騙手法：
   • 顯示名稱：「銀行客服」 → 實際寄件：service@bank-security-xyz.com (非官方域名)。
   • 域名相似：paypal.com vs paypa1.com、paypal-security.com。
   • 緊迫感話術：「帳號將被凍結」、「立即點擊驗證」。

🔧 進階技術防禦層 (系統/組織端)

層面	措施	工具/設定範例
郵件閘道/雲端過濾	攔截垃圾郵件、惡意附件、釣魚連結、BEC (商務郵件入侵)	Microsoft Defender for Office 365 (Plan 1/2)、Proofpoint, Mimecast, Trend Micro Cloud App Security、Google Workspace 進階保護
郵件驗證三寶	防止域名被盜用發信、提升送達率	SPF (授權發信 IP)、DKIM (數位簽章)、DMARC (策略: none/quarantine/reject + 報告) — **必全套部署**
附件沙箱分析	動態執行可疑附件觀察行為 (加密、連線 C2、修改登錄)	Defender for Office 365 Safe Attachments、FireEye NX、Cisco AMP、本地 Cuckoo Sandbox
連結重寫/掃描	郵件中連結改寫為安全閘道連結，點擊時即時信譽檢查	Safe Links (Defender)、URL Defense (Proofpoint)、Time-of-Click 分析
郵件加密與防洩漏 (DLP)	敏感資料 (身分證、信用卡、醫療紀錄) 自動加密/阻擋外寄	S/MIME、PGP/GPG、Microsoft Purview DLP、Google Workspace DLP
員工社交工程演練	定期發送模擬釣魚郵件，點擊者導向訓練課程	KnowBe4, Cofense, Gophish (開源)、Microsoft Attack Simulation Training

📎 高風險附件類型速查表

副檔名	風險等級	處理建議
.exe, .scr, .bat, .cmd, .com, .pif, .msi, .msp, .mst, .app, .vbs, .js, .jse, .wsf, .wsh, .ps1, .ps1xml, .psm1, .psd1, .jar, .sh, .py, .pl, .rb	🔴 **極高** (可直接執行程式碼)	**絕對禁止直接開啟**；必須沙箱/虛擬機分析，確認來源可信才執行
.lnk, .url, .scf, .library-ms, .searchConnector-ms	🔴 **極高** (捷徑/Shell 指令執行)	同極高風險處理
.zip, .rar, .7z, .iso, .img, .cab, .tar, .gz, .tgz	🟠 **高** (壓縮包內藏惡意檔、利用解壓縮漏洞 CVE-2018-20250 等)	下載 → 掃描壓縮包 → 解壓至隔離資料夾 → 再掃描內部檔案 → 確認後開啟
.pdf, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .rtf, .odt	🟡 **中** (巨集、嵌入物件、JS、漏洞利用 CVE-2017-11882 等)	開啟前掃描；Office 設定「停用所有巨集 (僅通知)」、啟用「受保護檢視」；PDF 用 Chrome/Edge 內建檢視器而非 Reader
.txt, .csv, .log, .xml, .json, .md, .html, .htm	🟢 **低** (純文字/資料格式)	相對安全，但警惕雙重副檔名 (readme.txt.exe)、Unicode 控制字元偽裝副檔名

🚨 發現可疑郵件怎麼辦？

1. **不點擊任何連結、不回覆、不轉寄給同事** (避免擴散風險)。
2. 向資安團隊/IT 回報 (轉寄至專用信箱 phish@company.com)。
3. IT 進行 IOC 提取 (寄件 IP、域名、URL、檔案雜湊) → 威脅情報比對 → 封鎖/更新規則 → 全員通報。
4. 若已誤點/執行 → 立即斷網 → 全盤掃毒 → 變更相關帳號密碼 → 通報資安單位。

郵件安全是「人、制、技」三位一體的系統工程。**養成「不開、先掃、驗證」肌肉記憶，配合企業級閘道與驗證三寶，才能在釣魚攻擊日益精準的今天守住組織大門。**