公司信箱安全驗證全過關 為何還是有很多詐騙信件？

(中央社財經訊息服務20261110 18:37:06)「我們公司SPF、DKIM、DMARC都設定好了，為什麼員工還是一直收到詐騙信？」這是不少企業管理者會有的疑問。明明已經完成各項郵件安全驗證，員工卻依然收到假發票、假主管指示付款，甚至是冒充Microsoft 365的帳號通知。 問題究竟出在哪裡？因為郵件驗證主要是在確認發信身分及網域授權，不是在保證每封郵件的內容都安全。

3種郵件驗證，到底在驗證什麼？

企業常見的3種設定，各自負責不同工作。

SPF：確認發信伺服器是否經過授權。 DKIM：使用數位簽章，協助確認郵件在傳送過程中沒有遭到特定形式的竄改。 DMARC：檢查寄件者網域與SPF或DKIM驗證結果是否符合規則，並讓網域擁有者可以指定驗證失敗時，相關的處理政策。

這些機制主要用來降低他人直接偽造企業網域發信的風險。但它們不能保證郵件內容一定真實，也無法完全阻止其他形式的冒名詐騙。

為什麼詐騙信還是能通過驗證？

常見有3種情況，第一，使用長得很像的網址。例如公司的網域是goodcompany.com，詐騙者另外註冊goodcornpany.com，利用字母外觀相近的特性混淆收件者。詐騙者只要替自己控制的網域正確設定驗證紀錄，寄出的郵件也可能通過SPF、DKIM與DMARC。第二，直接冒用顯示名稱。寄件者顯示「林總經理」，但實際電子郵件地址卻是陌生網域。如果員工只看顯示名稱，就可能誤以為是主管來信。第三，真正的帳號已經遭到入侵。假設合作廠商的信箱遭入侵，詐騙者直接利用該帳號發送假的匯款通知。這時郵件本身可能是從合法帳號寄出，單靠網域驗證也無法判定內容是否詐騙。

企業下一步應該做什麼？

企業應保留並正確設定SPF、DKIM及DMARC，同時加強其他MailOSecure的相關防護： 1. 啟用郵件反釣魚及冒名偵測功能，辨識相似網域、異常寄件者及可疑連結。 2. 為公司信箱啟用多因素驗證，降低帳號遭到入侵的機會。 3. 定期檢查異常登入、郵件轉寄規則及第三方應用程式授權。 4. 對變更匯款帳戶、要求提供驗證碼及緊急付款等指示，建立電話或其他獨立管道覆核機制。

尤其是涉及金流的電子郵件，即使寄件人看起來是熟識的客戶或主管，也不應只憑郵件內容直接執行。

郵件驗證是在防止身分被直接偽造；反詐騙則還要判斷內容、行為及要求是否合理，兩者缺一不可。

參考資料來源 1. Microsoft Learn｜Anti-phishing policies in Microsoft 365 https://learn.microsoft.com/en-us/defender-office-365/anti-phishing-policies-about 2. M3AAWG｜DMARC技術說明及限制 https://www.m3aawg.org/TechnologySummaries/DMARC 3. 美國聯邦貿易委員會FTC｜Cybersecurity for Small Business https://www.ftc.gov/business-guidance/small-businesses/cybersecurity 4. RFC Editor｜RFC 9989：DMARC標準文件 https://www.rfc-editor.org/rfc/rfc9989.html 5. Cloudmax｜如何防止郵件詐騙（BEC、釣魚、域名仿冒）全解析，如何辨識、預防與解決 https://www.cloudmax.com.tw/product/email-anti-phishing-dmarc 6. Cloudmax｜OSecure 郵件安全服務 https://www.cloudmax.com.tw/product/osecure

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成