办公室钓鱼邮件怎么防？一个IT运维的实战经验

先说明一下，这里说的"办公室钓鱼"不是让你在工位旁边摆根鱼竿。是那种伪装成老板、财务、IT部门的邮件或者消息，骗你点链接、填密码、转账。我在一家两百多人的公司管IT，这种事见得太多了。

去年我们做过一次内部演练，给全公司发了300封假邮件，标题写的是"您的邮箱容量已满，请点击扩容"。结果点开链接的有67个人，真在假登录页上把账号密码填进去的，11个，里面还包括两个部门主管。这个比例说实话不算难看，行业里平均水平差不多也就这样。

中招之后先做这几件事

很多人第一反应是"完了"，然后自己偷偷改个密码就当没事了。这是最糟的处理方式。正确的顺序是：

• 马上断网，拔网线或者关WiFi，别继续在这台机器上操作网银和邮箱
• 第一时间告诉IT或者安全负责人，越早越好，瞒着只会让损失扩大
• 改密码，而且所有用同一个密码的账号都要改，尤其是邮箱本身
• 去邮箱设置里翻"自动转发"和"过滤器"，钓鱼的人常偷偷加一条转发规则，把邮件抄到外部地址
• 查登录记录，看有没有异地IP、陌生设备登过

第4条最容易被忽略。我见过一个真实案例，财务同事填了密码之后自己改了密码，以为搞定了，结果对方早就加了一条转发规则，客户发来的对账邮件全被抄走，两个月后才被发现，损失了差不多8万。改密码根本挡不住已经建好的转发规则。

日常怎么把风险压下去

防御这事没有一劳永逸的。我的经验是，把成本最低的几件事做到位，就能挡掉九成以上的攻击。

二次验证必须开，这是性价比最高的一招。哪怕密码被钓走了，对方拿不到验证码也进不去。我们公司强制开完之后，钓鱼成功案例从每季度三四起掉到基本为零。

还有一点，别指望员工去看域名。真的。你让一个每天收两百封邮件的人去分辨 paypa1.com 和 paypal.com，太难了。与其反复培训，不如在制度上卡死：任何涉及转账、改收款账户、发敏感数据的请求，必须打电话或者当面跟本人确认一遍。这条规矩我们写进了财务流程，至少救过两次。

最后说个反常识的：演练别搞突然袭击然后全公司通报批评。我们第一次演练就是公开点名"某某部门中招率最高"，结果后面半年没人敢上报真实的中招情况了，大家都怕丢脸。现在改成只公布整体数据，个人结果单独发给本人，上报率反而上去了。

说白了，办公室钓鱼防的不是技术漏洞，是人心里那点侥幸和怕丢脸。流程比意识培训管用，早说比晚说管用，二次验证比什么口号都管用。