高級持續性威脅（APT）與定向攻擊，核心切入點多為社交工程郵件。趨勢科技數據顯示：2012 年日均 890 億企業郵件，員工日均收 100 封、發 41 封，16% 為垃圾郵件。郵件承載高價值敏感信息（預算 76%、產品藍圖 63%、併購 33%），成攻擊者首選載體。

攻擊者常用三大郵件偽裝手法

1. 借用合法郵箱服務與被盜賬號

利用 163、263、Gmail 等公共郵箱，或入侵獲取的真實企業郵箱發送攜帶漏洞利用代碼的郵件，繞過發件人信譽檢查。

2. 偽造內部高管/部門身份

冒充目標公司信息部門、高級主管發送郵件（如 Nitro 攻擊活動），利用權威性誘導受害者點擊鏈接、開啟附件、啟用巨集。

3. 偽造附件名稱增加可信度

附件命名為「Q3_財務預算.xlsx」、「薪資調整通知.pdf」、「合同簽署流程.doc」等極具業務相關性名稱，誘騙下載執行惡意代碼。

郵件安全防護四層架構

1. 網關層：反垃圾/反釣魚網關、沙箱動態分析、URL 重寫與點擊時檢測、附件清洗（CDR）
2. 傳輸層：SPF/DKIM/DMARC 三重認證，防域名偽造；TLS 加密傳輸
3. 終端層：EDR 行為監控、應用控制、禁用 Office 巨集自動運行、瀏覽器隔離
4. 人員層：持續釣魚演練、安全意識培訓、異常郵件一鍵上報機制

關鍵檢測指標

• 發件域名年齡、SPF/DKIM/DMARC 驗證結果
• 郵件頭部異常：Reply-To 與 From 不符、異常路由跳轉
• 附件異常：雙重擴展名、高熵值、內嵌惡意腳本/漏洞利用代碼
• 正文異常：緊迫語氣、威脅後果、要求繞過正常流程

郵件安全無銀彈，唯有「技術攔截 99% + 人員識別 1%」的纏深度防御，配合零信任網絡架構，方能在 APT 級攻擊下守住最後一道防線。