企业邮箱账号安全：被盗、异地登录与防钓鱼
邮箱被盗，最坏的结果不是别人看到了你的邮件，而是别人用你的邮箱去骗你的客户。攻击者拿到一个企业邮箱后，第一件事往往不是翻资料，而是研究你和谁有业务往来，然后以你的名义发信——比如通知对方「收款账户已变更」。
这类骗局造成的是客户的实际资金损失，而受损的信任会记在公司账上。
一、邮箱被盗的三类后果
| 后果 | 说明 |
|---|---|
| 冒充你向客户发信 | 最严重。伪造付款账户变更、假借名义索取款项，直接造成客户资金损失，公司需承担信任代价 |
| 域名发信信誉受损 | 被盗账号被用于群发垃圾邮件后，整个域名的送达率下降，正常业务邮件也跟着进垃圾箱 |
| 商业信息泄露 | 报价、合同、客户名单、供应商信息等敏感内容被读取 |
二、4 类主要风险
风险一：弱密码与密码复用
最常见的入口。员工用同一个密码注册了某个小网站，该网站数据库泄露后，攻击者拿这组账号密码去尝试登录邮箱——这叫撞库，成功率比暴力破解高得多。
企业邮箱地址是公开信息（官网、名片、平台店铺上都有），所以攻击者不缺「用户名」，只缺「密码」。
风险二：钓鱼邮件
伪装成「邮箱容量不足请点击扩容」「系统升级需重新验证密码」「收到一封传真/发票请查看附件」等，引导你在伪造的登录页上输入密码。这类邮件往往做得很像，甚至能把发件人显示名伪装成公司内部同事。
风险三：客户端配置不安全
使用了过时或不加密的协议与端口，或在不安全的网络环境下配置客户端，导致密码在传输过程中被截获。正确做法是使用 SSL/TLS 加密连接（IMAP 993、SMTP 465）。
风险四：内部管理漏洞
- 员工离职后账号未及时停用，仍可登录查看邮件
- 多人共用同一个账号密码（如部门邮箱），出问题无法定位责任人
- 离职交接时直接把密码交给接手人，没有通过管理员正式重新分配
三、防护配置清单
| 措施 | 作用 | 建议 |
|---|---|---|
| 强密码策略 | 抵抗撞库与暴力破解 | 12 位以上，含大小写字母、数字、符号，不与其他网站复用 |
| 定期修改密码 | 降低已泄露密码的有效期 | 3 到 6 个月更换一次，重要岗位更短 |
| 异地登录提醒 | 及时发现异常登录 | 建议开启，可推送到微信 |
| 登录限制 | 限制可登录的来源 | 按需配置，如仅允许常用地区登录 |
| 扫码登录 / 二次验证 | 提升登录门槛 | 支持则开启，避免长期使用同一密码 |
| 反垃圾与病毒过滤 | 减少钓鱼邮件进入收件箱 | 开启并留意误判情况 |
| 邮件审核 | 防止冒名对外发信 | 财务、采购等敏感岗位建议开启 |
| 账号回收流程 | 防范离职风险 | 离职当天停用账号并设置转发 |
| 登录日志审计 | 发现长期潜伏的异常 | 每季度检查一次异常登录记录 |
如果只能做一件事，打开异地登录提醒。它能在账号被盗的第一次异常登录时就发出通知，把发现时间从「几周后客户来问」缩短到「几分钟内」，这是所有措施里见效最快的。
四、发现被盗后的处置顺序
顺序很重要——先改密码会让攻击者立刻失去访问权，但也可能让他「察觉」，所以要在最短时间内一次性做完以下几步：
- 立即修改密码
用一台确认安全的设备（不要用可能已中毒的电脑）登录，改成全新的强密码，不要与之前用过的任何密码相似。
- 检查自动转发规则和自动回复
这一步最容易被忽略。攻击者常会设置一条隐藏的转发规则，把收到的邮件同步转发到自己的地址，从而长期窃取往来邮件而不被发现。改密码不会删除这条规则，必须单独检查并删除。同时检查自动回复里是否被写了可疑内容。
- 查看登录日志和发信日志
确认异常登录的时间、地点，以及被盗期间向外发送了哪些邮件——这决定了要通知哪些客户。登录日志还能帮你判断是否有其他账号被以同样方式入侵。
- 通知受影响的往来客户
按上一步查到的发信记录，逐个通知对方：如果收到过账户变更、付款要求类邮件，请勿执行。这一步做得越快，损失越小。同时对客户名单整体发一次风险提示也是必要的。
- 排查其他账号
如果原因是撞库（密码复用），同一员工在其他平台使用的相同密码也存在风险，应一并更换。若多个账号出现相同异常，说明问题在更上游（如内部电脑中毒）。
- 补齐防护配置
按上一节的清单逐项检查：开启异地登录提醒、调整反垃圾策略、必要时对敏感岗位启用邮件审核，避免同样的问题再发生一次。
五、识别钓鱼邮件的三个要点
| 识别点 | 怎么判断 |
|---|---|
| 发件人是否真实 | 把鼠标移到发件人名称上，看实际地址。常见手法是显示名写成「财务部」，实际地址是公共邮箱或拼写近似的域名 |
| 链接指向哪里 | 不要直接点击。悬停查看真实地址，或手动核对域名拼写。登录页要求输入密码前，先确认地址栏域名完全正确 |
| 是否在制造紧迫感 | 「24 小时内未处理将停用」「立即验证否则无法收发」——制造时间压力是钓大鱼的标准手法。正规服务商不会通过邮件索要密码或验证码 |
如果发现误发了含敏感信息的邮件，同系统的邮件支持无条件撤回（不论对方是否已读）；但如果对方是外部邮箱系统，邮件发出后无法撤回，只能立即联系对方说明。这也说明一件事：对外发信的敏感内容，事前审核比事后补救有效得多。
六、常见问题
邮箱被盗后会有什么后果？
最严重的不是隐私泄露，而是攻击者冒用你的域名向客户、供应商发信，例如伪造付款账号变更、假借名义索取款项。这会造成客户资金损失和公司信誉受损，还可能导致域名发信信誉被列入黑名单。
发现邮箱被盗应该先做什么？
第一步立即修改密码；第二步检查自动转发规则和自动回复设置，攻击者常设置隐藏转发把邮件偷偷转走；第三步查看发信日志和登录日志，确认异常发信范围；第四步通知受影响的往来客户，避免他们上当。
为什么要检查邮件转发规则？
攻击者进入邮箱后常会设置一条自动转发规则，把收到的邮件同时转发到自己的地址，从而长期获取你的往来邮件而不被立刻发现。改密码并不能清除这些规则，必须单独检查并删除。
怎么判断一封邮件是不是钓鱼邮件？
三个识别点：发件人地址与显示名称是否一致；正文中的链接实际指向哪里（悬停查看真实地址，不要直接点击）；是否要求紧急提供密码、验证码或付款。正规服务商不会通过邮件索要密码。
员工离职后邮箱该怎么处理才安全？
建议三件事：立即停用账号；把来信设置为自动转发给接手人，避免客户邮件丢失；通过归档或导出保留历史邮件。不要直接把账号密码交给接手人继续使用，这会让操作日志无法追溯。