钓鱼邮件是一种冒充您信任的人发来的邮件，目的是让您点击链接、打开文件、交出密码或转账汇款。大多数钓鱼邮件都能识别出来，方法是核实邮件到底是谁发的、其中的链接实际指向哪里，以及它是不是在催促您立刻处理一件您并未预料到的事。
- 显示名称可以随便写；真正重要的是它后面的邮箱地址，尤其是地址中的域名。
- 打开链接之前，先悬停在上面或复制出来查看，并从右向左读出真正的域名。
- 任何要求更改银行账户信息，或批准一次并非您发起的登录的请求，都应该通过另一条已知的独立渠道去核实。
- SPF、DKIM 和 DMARC 能证明邮件是哪个域名发出的，但不能证明邮件内容是否诚实。
- 如果您点击了链接并输入了密码，请立即在真正的网站上修改密码，并退出其他登录会话。
钓鱼邮件借用的是信任：银行的徽标、同事的名字、快递公司的语气。下面这些做法只需几秒钟，在任何邮件应用中都适用。
钓鱼邮件的 12 个危险信号
- 显示名称和邮箱地址不一致。“PayPal Support”可以挂在任何地址上。点按或悬停在名称上，就能显示完整地址。某个品牌却用免费网络邮箱或毫不相干的域名发信，是一个强烈的警示信号。
- 相似或伪装的域名。攻击者会注册只差一个字符的域名（
rnicrosoft.com，用“r n”冒充“m”），额外加词（paypal-secure-login.com），或者把真实名称当作子域名（paypal.com.account-check.net，它实际属于account-check.net）。国际化域名允许使用其他字母表中看起来与拉丁字母一模一样的字母，比如用西里尔字母“а”代替“a”。它们的底层形式以xn--开头（punycode）；如果您在意料之外的链接或地址中看到这个前缀，请把它视为可疑。 - 紧迫感、恐吓或施压。“您的账户将在 24 小时内关闭”“未付发票”“法律诉讼”。人为设定的期限，就是为了让您来不及核实。
- 链接文字与实际目标不同。链接上显示的文字可以写成任何内容。真正的目标会在您用鼠标悬停时出现，显示在状态栏或提示框中。如果文字写的是一个网站，而目标却是另一个，请不要点击。
- 意料之外的附件。对任何您没有预料到的文件都要保持警惕，尤其是 HTML 文件（它们可以打开一个存放在您自己电脑上的、逼真的虚假登录页面）、ZIP 或其他压缩包、ISO 和 IMG 磁盘镜像、密码写在邮件正文中的加密压缩包，以及要求您“启用内容”或宏的 Office 文档。压缩包和磁盘镜像之所以常见，是因为它们可以向邮件过滤器隐藏真实的文件类型。
- 索要凭据或个人信息。正规公司不会通过邮件，或邮件中的链接，要求您确认密码、PIN 码、完整的银行卡号或一次性验证码。
- 要求您扫描二维码。二维码钓鱼（“quishing”）把链接藏在图片里，让过滤器读不出来，而您会在手机上打开它，手机的防护往往不如工作电脑。对于涉及 MFA 设置、文件签署或账户问题的邮件中的二维码，要保持怀疑。
- 不同的 Reply-To 地址。发件人（From）一行看起来也许没问题，但回复却发往别处。点击回复时，请查看收件人（To）栏中出现的地址。两者不一致，在发票诈骗中很常见。
- 笼统的称呼或错误的信息。“尊敬的客户”“亲爱的用户”，或者把您的邮箱地址当作您的姓名，都说明这是群发的广撒网式邮件。不过，姓名正确并不能说明任何问题。
- 好得难以置信的优惠。意外的退款、奖品、遗产、加密货币收益，或您从未申请过的工作机会，都是诱饵。要求您先付一小笔费用才能释放一大笔款项，也是如此。
- 变更付款或银行信息。在商务邮件欺诈（business email compromise）中，供应商、同事或高管会“更新”他们的银行账户，或要求紧急转账或购买礼品卡。这类邮件可能来自一个真正被入侵的账户，所以它能通过所有技术检查。
- 您没有请求过的 MFA 提示或验证码。手机上突然收到一连串批准请求，或者有邮件要求您念出一个验证码，都意味着有人可能已经拿到了您的密码，正在试图绕过第二重验证。请拒绝该请求并修改您的密码。
速查表：该看哪里
| 邮件的部分 | 要检查什么 | 警示信号 |
|---|---|---|
| 发件人（From）一行 | 完整的地址和域名，而不只是名称 | 免费网络邮箱、拼写错误或毫不相干的域名、xn-- |
| Reply-To | 回复时出现的地址 | 域名与发件人不同 |
| 链接 | 悬停时或复制后看到的真实目标 | 文字与目标不一致、短链接服务、古怪的域名 |
| 附件 | 文件类型，以及您是否预料到它 | .html、.htm、.zip、.iso、.img、宏、邮件中附带的密码 |
| 请求 | 邮件想让您做什么 | 登录、付款、更改银行信息、批准 MFA、扫描二维码 |
| 邮件头 | SPF、DKIM 和 DMARC 的结果 | 未通过，或通过验证的并非品牌自己的域名 |
如何在不打开的情况下检查链接
- 在电脑上，把鼠标悬停在链接上，等待真实地址出现在窗口底部或提示框中。
- 在手机上，长按链接即可查看地址。有些手机会显示页面的实时预览，所以更稳妥的做法是复制链接，再粘贴到备忘录应用中。
- 找出注册域名：从右向左读主机名，一直读到第一个单独的斜杠。在
https://login.example.com.secure-verify.io/account中，域名是secure-verify.io，而不是 example.com。 - 如果您需要访问该服务，请自己输入它的网址，或者使用书签或官方应用，而不是点击邮件里的链接。
我们的钓鱼邮件分析器可以检查您粘贴的文本或邮件头，找出具有欺骗性的链接、伪造的发件人以及其他警示信号，您无需打开任何内容。
如何安全地查看邮件头
每封邮件都带有隐藏的邮件头，记录了哪些服务器处理过它，以及它是否通过了身份验证。查看邮件头是安全的，因为您只是在阅读文本。查找位置如下：
- Gmail：打开邮件，点击三点“更多操作”菜单，然后选择显示原始邮件。
- 网页版 Outlook 和新版 Outlook：打开邮件，选择三点菜单，然后依次选择查看和查看邮件详细信息。
- Windows 版经典 Outlook：打开邮件，然后依次选择文件、属性，并查看 Internet 邮件头。
- Apple Mail：显示、邮件、所有标头或原始来源。
最有用的一行通常是 Authentication-Results，由您自己的邮件服务商添加：
Authentication-Results: mx.example.net;
spf=pass smtp.mailfrom=bounce.example-shop.com;
dkim=pass header.d=example-shop.com;
dmarc=pass header.from=example-shop.com请检查这里的域名是否与您预期的品牌一致。还要对比 From、Reply-To 和 Return-Path 地址，并从下往上阅读 Received 行，看看邮件是从哪里发出的。把邮件头粘贴到我们的邮件头分析器中，可以用易读的形式列出每一跳和每项身份验证的结果。
SPF、DKIM 和 DMARC 能告诉您什么，不能告诉您什么
这三项标准让接收服务器可以检查一封邮件是否真的来自它所声称的域名：
- SPF 列出被允许为某个域名发送邮件的服务器，并与信封发件人（
Return-Path）进行核对。 - DKIM 添加一个加密签名，证明某个域名对该邮件负责，并且被签名的部分没有被篡改。
- DMARC 要求 SPF 或 DKIM 在与可见的 From 地址一致的域名上通过，并告诉接收方在未通过时该怎么做：不处理、隔离或拒收。
当某个品牌发布了严格的 DMARC 策略时，犯罪分子就很难把那个确切的域名放进 From 一行。这就是为什么钓鱼邮件常常改用相似域名、显示名称手法或被入侵的账户。来自 paypa1-billing.com 的邮件，对它自己的域名来说完全可以通过 SPF、DKIM 和 DMARC。通过只能证明是谁发的邮件，不能证明发件人是诚实的。反过来，一封声称来自某大品牌的邮件如果未通过，就是产生怀疑的有力理由。
如果您运营着一个域名，请用我们的 SPF与DMARC检测确认您自己的记录已经配置好，并阅读 SPF、DKIM 和 DMARC 详解了解设置细节。
收到可疑邮件该怎么办
- 不要点击链接、打开附件、扫描二维码或回复。
- 通过另一条独立渠道核实：拨打您已有的号码联系对方，或者手动输入网址登录该服务。
- 举报它。在工作中，请使用“举报钓鱼邮件”按钮，或按照 IT 团队的要求转发。在 Gmail 和 Outlook 中，请使用内置的举报钓鱼邮件（Outlook 中为“报告钓鱼”）选项。在英国，您可以把可疑邮件转发给 NCSC（英国国家网络安全中心），地址是
report@phishing.gov.uk；在美国，您可以向 FTC（美国联邦贸易委员会）举报欺诈，网址是 reportfraud.ftc.gov。
如果您已经点击了链接怎么办
关键在于点击之后发生了什么。请尽快行动：
- 如果您输入了密码，请立即在真正的网站上修改密码（要手动输入网址），并修改所有使用相同密码的其他账户。然后退出所有其他登录会话，大多数大型服务都在安全设置中提供这个功能。
- 开启或检查 MFA。移除您不认识的任何设备、应用专用密码或验证器注册项。通行密钥（passkey）和硬件安全密钥可以抵御钓鱼，因为它们只能在真正的网站上使用。
- 检查您的邮箱设置。入侵邮箱账户的攻击者常常会添加转发规则或过滤器，把回复隐藏起来。请查看有没有您没有创建过的规则。
- 如果您打开了附件或运行了文件，请把设备从网络中断开，并联系您的 IT 团队；如果是个人设备，则用最新的安全软件进行一次全盘扫描。
- 如果您汇出了款项或提供了银行卡信息，请立即用银行卡上或官方网站上的号码致电您的银行或发卡机构。越快行动，越有可能拦截这笔付款。
- 告诉可能成为下一个目标的人，例如同事或联系人，如果您的账户曾被用来发送邮件的话。
常见问题
只是打开钓鱼邮件，就会被黑吗？
对于使用最新邮件应用的普通用户来说，仅仅打开一封邮件很少会出问题。危险来自点击链接、打开附件、输入信息或回复邮件。加载远程图片可能会向发件人确认您的地址是有效的。
钓鱼和鱼叉式钓鱼有什么区别？
钓鱼邮件会用笼统的诱饵群发给大量的人。鱼叉式钓鱼（spear phishing）则瞄准特定的个人或组织，使用真实的姓名、职务、项目或供应商来显得可信，因此更难识破。
如果邮件通过了 SPF、DKIM 和 DMARC，它就安全吗？
不安全。通过只说明 From 地址中的域名授权了这封邮件。犯罪分子可以注册自己的相似域名并配置有效的记录，被入侵的真实账户同样能通过。请始终判断域名本身，以及邮件要求您做什么。
如何检查邮件中的链接是否安全？
悬停在它上面，或者不打开而直接复制，从右向左读出注册域名，再与该机构真实的域名比对。如有疑问，请直接访问该网站，而不要使用邮件里的链接。
钓鱼邮件为什么要用二维码？
二维码把链接藏在许多过滤器无法解码的图片里，并且把您转移到手机上，而手机可能缺少受管理的工作电脑所具备的防护，也让完整地址更难检查。