Hotmail、Yahoo、163 等免費 Webmail 方便普及，但其「瀏覽器介面 + Session 機制」架構，衍生出 Session 劫持、登入頁面偽裝、Proxy 快取洩漏等獨特風險。本文以 Hotmail 為例，拆解三大經典攻擊手法，提供使用者與管理員的防禦清單。
攻擊一：Session 劫持 — 忘記登出 = 帳號大門敞開
- 原理：Webmail 登入後建立 Session ID (儲存於 Cookie/URL)，驗證身分。受害者未登出離開，攻擊者同機器或同 Proxy 下，鍵入
https://www.hotmail.com/cgi-bin/start/victim_username 即可直接接管 Session。
- 實測：透過 Proxy 伺服器時，任何內網機器均可利用此漏洞存取信箱。
- 對策：
- 使用者：每次用畢必點「登出」，勿只關瀏覽器視窗。
- 服務商：實作閒置逾時自動登出 (Hotmail 已更新)；採用 HttpOnly、Secure Cookie 標記；Session ID 綁定 Client IP/User-Agent (需權衡行動裝置漫遊體驗)。
攻擊二：登入頁面偽裝 — 本地修改表單動作竊取帳密
- 手法：攻擊者儲存 Hotmail 登入頁 HTML → 修改表單
action 指向自身蒐集腳本 → 受害者以為在官網輸入帳密，實則送往攻擊者伺服器。
- 誘騙：攻擊者傳送包含修改頁面連結的郵件/訊息，或透過 DNS 劫持/ARP 欺騙導向本地偽裝頁。
- 對策：
- 使用者：直接輸入網址 或使用書籤，不點擊郵件/訊息連結登入。
- 檢視網址列是否為
https://www.hotmail.com (含鎖頭圖示、憑證主體正確)。
- 服務商：採用 HSTS、CSP、Subresource Integrity 防範頁面竄改；推廣專用 App/桌面客戶端減少瀏覽器介面依賴。
攻擊三：Proxy/快取洩漏 — 共用電腦的隱形陷阱
- 場景：網吧、圖書館、企業 Proxy 快取 HTTPS 回應 (若安裝根憑證進行 SSL 檢測)。
- 風險：郵件內容、附件、Session ID 可能寫入 Proxy 快取磁碟，後續使用者/管理員可讀取。
- 對策：
- 使用者：避免在公共/受管電腦處理機密郵件；使用攜帶式瀏覽器 (Portable Firefox) + 加密隨身碟；或改用行動裝置 4G/5G 直連。
- 企業：Proxy 設定不快取 HTTPS 內容、定期清除快取、限制管理員存取快取資料。
綜合防禦建議：從被動防禦到零信任存取
- 啟用雙因子認證 (2FA)：帳密被竊仍無法登入 (Hotmail/Outlook 支援 Authenticator App、SMS、替代郵件)。
- 使用郵件用戶端 (Outlook/Thunderbird/Mail App)：透過 IMAP/POP3 + SSL/TLS，避開 Web 介面 Session 風險，並支援本地加密儲存 (PGP/S/MIME)。
- 定期檢視登入活動：Outlook.com → 安全性 → 登入活動，發現異地/異裝置立即登出所有階段並變更密碼。
- 企業部署 CASB (Cloud Access Security Broker)：監控 OAuth 應用授權、異常下載、資料外洩、強制裝置合規。
免費信箱本質上是「共享基礎設施上的租戶」，安全責任在提供商與使用者雙方。使用者若將免費信箱作為核心身分識別 (綁定銀行、社群、雲端服務)，更應投入相稱的防護資源：2FA、專用客戶端、定期稽核、重要帳號改用付費/自建郵件服務。便利不等於安全，安全需要刻意經營。