我們如何在 CEO 冒充郵件進入收件匣之前將其攔截

冒充 CEO 的郵件試圖把我們的員工引到 LINE 群組。現在,兩條 Microsoft 365 郵件流程規則會在送達前將其隔離。

有人一直冒充我們的 CEO 寄送郵件給 LOGIQ 員工。2026 年 11 月 12 日,我們在 Microsoft 365 中設定了郵件流程規則。現在,這類郵件在抵達任何人的收件匣之前就會被隔離。以下說明事情經過、我們的設定,以及其他公司可以參考的做法。

事情經過

這些郵件來自 LOGIQ 外部的地址。寄件者顯示名稱使用了我們 CEO 的名字,乍看之下就像是本人寄來的。要求每次都一樣:在通訊軟體 LINE 中建立一個群組,並回傳群組的 QR 碼或邀請連結。

郵件本身並未索取金錢或密碼,這正是其狡猾之處。郵件只需要把你引到我們的郵件安全系統看不到對話的管道。真正的要求(通常是付款、購買禮物卡或索取機密檔案)會在之後出現。

這種詐騙為何奏效

它利用了多數人都有的三個習慣。

• 我們看的是名字,而不是地址。多數郵件軟體會優先顯示顯示名稱,並把真實地址隱藏起來。任何人都可以在免費郵件帳號上設定任意顯示名稱。
• 我們習慣答應老闆。一則來自 CEO、簡短又略顯緊急的訊息,讓人不太會提出疑問。
• 第一個要求看起來無害。建立聊天群組似乎無關緊要。但對話一旦離開公司郵件,過濾器、記錄和同事就都看不到了。

我們的設定

我們在 Microsoft 365 中新增了兩條郵件流程規則(也稱為傳輸規則)。它們在伺服器端執行,在任何郵件抵達收件匣之前生效,因此不需要任何人自行識破詐騙。

規則	攔截對象	處理方式
顯示名稱冒充	來自 LOGIQ 外部、寄件者顯示名稱模仿我們管理層的郵件,包括拉丁字母與日文寫法	隔離;每次觸發都會回報給管理層
引導至其他管道	來自 LOGIQ 外部、試圖把對話轉移到聊天軟體的郵件,例如索取 LINE 群組 QR 碼或邀請連結	隔離

第一條規則的邏輯很簡單。我們的管理層只會透過 @logiqlinux.com 地址發出指示。因此,外部郵件使用我們 CEO 的名字,本身就代表詐騙,沒有任何理由送達。

被隔離的郵件會保留 30 天。如果有正常郵件遭到誤攔,管理員可以將其放行。

人的防線

過濾器能攔下大多數嘗試,但不是全部。因此,規則還搭配一項 LOGIQ 全體成員都了解的明確政策:

• 管理層只透過公司內部管道下達指示,絕不會從外部郵件地址發出。
• LOGIQ 絕不會要求任何人把業務轉移到個人聊天群組。
• 如果可疑訊息仍然送達,請不要照做。請回報,我們會進一步強化規則。

這樣的政策讓員工的判斷變得簡單。沒有人需要判斷一則訊息「感覺」是否真實。只要違反規則,它就是假的。

其他公司可以怎麼做

這些設定一個下午就能完成。我們的建議如下:

1. 隔離使用高階主管姓名的外部郵件。在 Microsoft 365 中建立一條郵件流程規則:寄件者位於組織外部,且寄件者顯示名稱包含高階主管的姓名。請涵蓋員工能認出的所有寫法與文字。
2. 隔離試圖把對話移出郵件的嘗試。比對索取聊天群組邀請、QR 碼或個人通訊帳號的措辭,並將規則限定於外部寄件者。
3. 隔離而非刪除。如此一來,誤攔的郵件可以放行,也能保留證據。
4. 每次觸發都通知負責處理的人。觸發次數突然增加,是公司正被鎖定的早期警訊。
5. 把管理層實際的溝通方式寫下來。一句話(「指示只會來自公司地址,並透過內部管道發出」)就能給員工一個簡單的判斷標準。
6. 同時啟用內建防護。為外部寄件者加上警告標籤,並在授權包含的情況下,於防網路釣魚原則中啟用冒充防護。
7. 例外要少,並且保密。每一個豁免的寄件者都是一個漏洞。定期檢視名單,絕不公開。

總結

CEO 冒充不需要駭客技術,只需要一個以假亂真的顯示名稱,以及一個把對話轉移到別處的理由。伺服器端規則讓閱讀郵件的人不必再做這個選擇,而明確的政策則補足規則遺漏的部分。

需要協助設定郵件流程規則或檢視您的郵件安全嗎?聯絡 LOGIQ 團隊。

Photo: Anete Lusina / Pexels