前言：Email 安全的隱形殺手

電子郵件已成生活必需，但多數用戶忽略其脆弱性。郵件內容洩漏往往讓當事人渾然不覺，尤其商務郵件一旦外洩，損失不可估量。本文從伺服器端漏洞、傳輸攔截、用戶習慣三大面向剖析風險，給出完整防護清單。

一、伺服器端核心風險

1. 作業系統預設配置不安全

郵件伺服器多架設於 Win NT/2000/2003、Linux/Unix。預設安裝常開放多餘服務、預設帳號密碼、未修補漏洞。駭客利用自動化工具（如終端服務 + 中文輸入法漏洞提權 → pwdump3 導出 Hash → L0phtCrack 字典/暴力破解）可在分鐘至天級時間拿下系統管理員權限。

2. 郵件伺服器軟體本身漏洞

• Sendmail 舊版：Telnet 25 埠輸入 wiz → shell 直接取得 Root Shell；debug 指令同樣可提權。
• Qmail：雖較安全，但存在緩衝區溢位，可遠程取得 Root Shell。
• 資訊枚舉：駭客利用 EXPN、VRFY、偽造寄件人 + RCPT TO 推測有效帳號，再對 110 埠 (POP3) 發動暴力破解。

3. Webmail 介面風險

CGI 接收表單傳遞帳號密碼，暴力破解工具（如「溯雪」）可高速嘗試弱密碼。若無 HTTPS 加密，帳密明文傳輸極易被竊聽。

二、傳輸路徑攔截：Sniffer 側錄明文帳密

網路中部署 Sniffer 監聽 110 埠 (POP3) 流量，直接擷取明文帳號密碼，比暴力破解高效得多。對策：強制使用 POP3S (995)、IMAPS (993)、SMTPS (465/587) 加密傳輸。

三、用戶端習慣：最大的安全缺口

大型郵件商通常有專業維護團隊，伺服器端相對安全；反而是用戶習慣導致多數事故。

1. 遠離垃圾郵件：選用具備優良過濾的知名郵箱（如 163、Yahoo），減少釣魚與惡意程式碼接觸機率。

2. 多帳號分級管理：

• 帳號 A：公開註冊、訂閱電子報（高風險）。
• 帳號 B：私人通訊、社群帳號綁定（中風險）。
• 帳號 C：銀行、證券、核心業務（低風險，可考慮付費企業郵箱）。

3. 識別與防範釣魚郵件：

• 冒用銀行/機構商標、排版，誘導點擊連結輸入帳密或回覆郵件。
• 鐵律：懷疑郵件不點連結、不回覆。需驗證時，手動輸入官網網址登入確認。

4. 時刻保持警惕：熟人郵件同樣可能攜帶病毒

惡意程式常竊取通訊錄自動群發，來自好友的郵件附件同樣需掃毒後再開啟。

5. 絕不以 Email 傳輸銀行/信用卡/身分證等敏感資訊

電話、加密即時通訊、當面告知均優於明文郵件。

6. 全盤掃描附件：升級防毒軟體、開啟郵件附件即時掃描。

7. 定期備份郵件：郵件已具法律效力（合約、會議紀錄），善用郵箱備份功能或本地匯出 .pst/.eml。

8. 重要郵件加密：安裝 PGP (Pretty Good Privacy) 或使用 S/MIME 憑證，實現端到端加密。

9. 簽署重要郵件使用數位簽章：

證明寄件人身分、郵件未竄改、來源主機，防止抵賴與偽造。

結語

Email 安全非單一技術可解，需「伺服器端加固 + 傳輸加密 + 用戶習慣重塑」三位一體。本文旨在喚醒風險意識，每項細節均可深入展開，請從今天開始落實屬於你的 Email 防護清單。