我们如何在 CEO 冒充邮件进入收件箱之前将其拦截

冒充 CEO 的邮件试图把我们的员工引到 LINE 群组。现在,两条 Microsoft 365 邮件流规则会在投递前将其隔离。

有人一直冒充我们的 CEO 向 LOGIQ 员工发送邮件。2026 年 11 月 12 日,我们在 Microsoft 365 中设置了邮件流规则。现在,这类邮件在到达任何人的收件箱之前就会被隔离。下面介绍事情经过、我们的设置,以及其他公司可以借鉴的做法。

事情经过

这些邮件来自 LOGIQ 外部的地址。发件人显示名称使用了我们 CEO 的名字,乍一看就像是本人发来的。请求内容每次都一样:在即时通讯应用 LINE 中创建一个群组,并回复群组的 QR 码或邀请链接。

邮件本身并没有索要钱款或密码,这正是其狡猾之处。邮件只需要把你引到我们的邮件安全系统看不到对话的渠道上。真正的要求(通常是付款、购买礼品卡或索取机密文件)会在之后出现。

这种骗局为何奏效

它利用了大多数人都有的三个习惯。

• 我们看的是名字,而不是地址。大多数邮件应用会优先显示显示名称,而把真实地址隐藏起来。任何人都可以在免费邮箱账号上设置任意显示名称。
• 我们习惯答应老板。一条来自 CEO、简短又略显紧急的消息,让人不太会去质疑。
• 第一个请求看起来无害。建个聊天群似乎无关紧要。但对话一旦离开公司邮件,过滤器、日志和同事就都看不到了。

我们的配置

我们在 Microsoft 365 中添加了两条邮件流规则(也称为传输规则)。它们在服务器端运行,在任何邮件到达收件箱之前生效,因此不需要任何人自己去识别骗局。

规则	拦截对象	处理方式
显示名称冒充	来自 LOGIQ 外部、发件人显示名称模仿我们管理层的邮件,包括拉丁字母和日文写法	隔离;每次触发都会报告给管理层
引导至其他渠道	来自 LOGIQ 外部、试图把对话转移到聊天应用的邮件,例如索要 LINE 群组 QR 码或邀请链接	隔离

第一条规则的逻辑很简单。我们的管理层只会通过 @logiqlinux.com 地址发出指示。因此,外部邮件使用我们 CEO 的名字,本身就意味着欺诈,没有任何理由投递。

被隔离的邮件会保留 30 天。如果有正常邮件被误拦截,管理员可以将其放行。

人的防线

过滤器能拦截大多数尝试,但不是全部。因此,规则还配有一项 LOGIQ 全员都了解的明确政策:

• 管理层只通过公司内部渠道下达指示,绝不会从外部邮箱地址发出。
• LOGIQ 绝不会要求任何人把业务转移到个人聊天群组中。
• 如果可疑消息仍然送达,请不要照做。请报告,我们会进一步收紧规则。

这样的政策让员工的判断变得简单。没有人需要判断一条消息「感觉」是否真实。只要违反规则,它就是假的。

其他公司可以怎么做

这些设置一个下午就能完成。我们的建议如下:

1. 隔离使用高管姓名的外部邮件。在 Microsoft 365 中创建一条邮件流规则:发件人位于组织外部,且发件人显示名称包含高管姓名。请涵盖员工能认出的所有写法和文字。
2. 隔离试图把对话移出邮件的尝试。匹配索要聊天群邀请、QR 码或个人通讯账号的措辞,并将规则限定于外部发件人。
3. 隔离而不是删除。这样被误拦截的邮件可以放行,同时也保留了证据。
4. 每次触发都通知负责处理的人。触发次数突然增加,是公司正在被盯上的早期预警。
5. 把管理层真实的沟通方式写下来。一句话(「指示只会来自公司地址,并通过内部渠道发出」)就能给员工一个简单的判断标准。
6. 同时开启内置防护。为外部发件人添加警告标签,并在许可证包含的情况下,在反钓鱼策略中启用冒充防护。
7. 例外要少,并且保密。每一个豁免的发件人都是一个漏洞。定期审查名单,绝不公开。

总结

CEO 冒充并不需要黑客技术,只需要一个以假乱真的显示名称,以及一个把对话转移到别处的理由。服务器端规则让阅读邮件的人不必再做这个选择,而明确的政策则覆盖规则遗漏的部分。

需要帮助设置邮件流规则或评估您的邮件安全吗?联系 LOGIQ 团队。

Photo: Anete Lusina / Pexels