前言
電子郵件仍是企業溝通主力，也是攻擊者最愛的初始入侵向量 (釣魚、商務郵件詐騙 BEC、勒索軟體投遞、惡意附件)。本文整理 25 大常見錯誤並提供對應最佳實務，涵蓋帳號管理、用戶行為、技術配置、事件響應四大面向。
帳號與身分管理錯誤 (1-5)
- 僅使用單一信箱處理所有事務 → 建立三組信箱： 工作專用 (公司域)、個人私用 (受信任聯繫)、公開/雜項 (註冊網站、訂閱、公開留聯絡)。公開信箱定期 (6 個月) 棄用重註冊。
- 長期使用垃圾郵件氾濫的信箱 → 及時棄用、遷移重要聯繫、啟用進階反垃圾郵件閘道 (SPF/DKIM/DMARC + AI 分類)。
- 公共電腦僅登出未關閉瀏覽器 → 必須完全關閉瀏覽器視窗，清除瀏覽器快取/Cookie/密碼/表單資料 (Ctrl+Shift+Del / 設定 → 隱私權 → 清除瀏覽資料)。
- 遺忘清除公用電腦瀏覽器隱私資料 → 同上，務必清除「瀏覽歷程、Cookie、快取映像檔、自動填入表單資料、網站權限」。
- 使用個人信箱傳送公司機密資料 → 嚴禁。公司機密僅透過公司核准郵件系統 (含 DLP、加密、存證) 傳送。個人信箱無審計、無備份、無法律效力。
用戶行為與操作習慣錯誤 (6-15)
- 忽略電話驗證替代方案 → 敏感指令 (轉帳、改密、改簽核流程) 必須透過電話/視訊/當面雙因子確認，不單憑郵件。
- 不使用密件副本 (BCC) 群發 → 群發郵件必須使用 BCC，保護收件人隱私，防止回覆全部洩露名單、防止收件人通訊錄收集被殭屍網路利用。
- 輕率點擊「回覆全部」 → 確認收件人名單後再發送，敏感內容僅回覆寄件者。
- 轉發郵件未移除歷史收件人資訊 → 轉發前刪除郵件頭部的收件人/副本/密件副本清單，避免洩露組織架構、郵件串聯關係。
- 不備份重要郵件 → 定期 (≤ 3 個月) 匯出 .pst/.ost/.mbox 至加密儲存裝置 (BitLocker/VeraCrypt 加密外接硬碟/NAS) 或雲端備份 (符合合規)。
- 誤以為行動裝置同步即備份 → 確認郵件用戶端設定：「保留伺服器副本」/「不自動刪除伺服器郵件」，避免手機刪除導致伺服器同步刪除。
- 點擊垃圾郵件中的「退訂」連結 → 確認寄件者合法性 (DKIM/SPF/DMARC 通過、知名品牌) 才點擊；不明來源退訂連結常為確認信箱活躍度陷阱。
- 開啟可疑附件/連結 → 零信任原則：未預期附件不開啟、連結先滑鼠懸停檢視真實網址、使用沙箱/線上掃描 (VirusTotal, Hybrid Analysis)。
- 在郵件中傳送敏感個資/密碼/信用卡號 → 絕對禁止。使用加密檔案分享 (7-Zip AES-256 密碼另行通知)、安全檔案傳輸平台 (ShareFile, OneDrive for Business 加密連結、自建 SFTP)。
- 參與郵件罵戰 → 情緒化郵件易被截圖傳播、法律證據不利。遇衝突：停止回覆 → 當面/視訊溝通 → 書面紀錄簽核。
技術配置與管理疏失 (16-22)
- 未部署 SPF/DKIM/DMARC → 必須為所有發信域名配置：
SPF (v=spf1 include:_spf.google.com -all)、DKIM (2048-bit RSA, 選轉換器)、DMARC (p=reject; rua=mailto:dmarc@domain.com; ruf=mailto:dmarc-forensic@domain.com; pct=100)。定期檢視 DMARC 報告。
- 未啟用 TLS 強制加密傳輸 (MTA-STS, DANE) → 配置
MTA-STS 政策 與 DANE TLSA 記錄，強制 SMTP over TLS 1.2+，防止降級攻擊/攔截。
- 郵件伺服器開放開放轉發 (Open Relay) 或認證繞過 → 嚴禁匿名轉發，強制 SMTP AUTH、限制提交埠 (587/465) 僅允許認證用戶。
- 未部署郵件閘道器沙箱/ATP (Advanced Threat Protection) → 所有郵件經過沙箱動態分析附件/連結、URL 重寫 (Safe Links)、郵件延遲交付掃描。
- 未實施郵件加密 (S/MIME, PGP/GPG, Microsoft Purview Message Encryption) → 機密郵件強制端到端加密，金鑰管理納入 PKI/KMS。
- 郵件存證/封存缺失 → 依法規 (SEC 17a-4, GDPR, 個資法) 部署不可變郵件封存 (Journaling + WORM 儲存)，支援電子發現。
- 缺乏郵件安全意識訓練與模擬演練 → 季度釣魚模擬 (KnowBe4, Cofense, Gophish) + 即時教學 + KPI 納入考核。
事件響應與持續改善 (23-25)
- 無郵件安全事件響應流程 → 制定 SOP：收到可疑郵件 → 不點擊/回覆 → 轉寄資安信箱 (phish@company.com) → IT 隔離/掃描/封鎖發件 IP/域名 → 全員通報 → 追蹤點擊者進行額外掃描/密碼重置。
- 未監控郵件異常行為 (大量寄送、異地登入、規則異動) → 啟用雲端郵件安全 (Microsoft Defender for Office 365, Proofpoint, Mimecast) 異常警示：郵箱規則建立 (自動轉發/刪除)、大量郵件寄送、來自高風險國家登入、OAuth 應用程式授權異常。
- 未定期審視與更新安全策略 → 每半年審視：防禦規則、例外清單、授權矩陣、廠商合約、法規變更、威脅情報趨勢，持續優化。
快速自檢表 (列印版)
□ 三組信箱分工 □ 定期棄用雜項信箱 □ 公用電腦全關瀏覽器+清隱私
□ 公司機密不進個人信箱 □ 敏感指令電話雙確認 □ 群發必用 BCC
□ 回覆全部三思 □ 轉發刪歷史收件人 □ 重要郵件定期加密備份
□ 手機郵件同步設定正確 □ 不點不明退訂 □ 不開可疑附件/連結
□ 郵件不傳敏感資料 □ 拒絕罵戰 □ SPF/DKIM/DMARC 全開
□ MTA-STS/DANE 強制 TLS □ 禁開放轉發 □ 郵件閘道器沙箱/ATP
□ 機密郵件端到端加密 □ 不可變郵件封存 □ 季度釣魚演練+考核
□ 事件響應 SOP 就緒 □ 異常行為監控告警 □ 半年策略審視更新
結語
郵件安全是系統工程：技術控制 (閘道、加密、認證、封存) + 流程規範 (SOP、分級、備份) + 人員素養 (演練、考核、文化) 三位一體。從 25 個常見錯誤切入，逐項修正，即能大幅提升組織郵件安全韌性。