什么是电子邮件安全？电子邮件安全的原理

电子邮件安全是一套用于保护电子邮件通信免受未经授权访问、冒充、恶意软件及其他形式的滥用的技术和实践。

它有助于保持信息私密，验证发件人是否合法，并降低钓鱼、伪造和有害附件进入收件箱的风险。

安全的电子邮件设置通过将加密、认证、垃圾邮件过滤和恶意软件检测结合为一层防御，支持机密性、完整性和可用性。

要理解电子邮件安全，首先要了解其核心概念、最常见的电子邮件威胁、阻挡它们的技术，以及使电子邮件系统更安全的最佳实践。

什么是电子邮件安全？

电子邮件安全是使电子邮件通信在实际操作中安全使用起来的系统。它确保消息被正确送达，保持不变，并且发送者和接收者都能信任。

电子邮件安全的核心确保只有合适的人能阅读您的邮件，邮件在传输过程中不会被篡改，并且发送人是他们所声称的身份。

要理解其工作原理，你需要了解它保护的四个核心属性：

1. 保密
2. 完整性
3. 认证
4. 不回溯

保密性意味着只有预期接收者能阅读该消息。如果你通过电子邮件发送登录信息或发票，保密原则会阻止其他人查看这些内容。这通过加密来强制执行，加密在传输过程中将可读文本转换为不可读取的数据。

完整性确保消息发送后不会被更改。如果有人拦截邮件并试图修改支付请求或链接，完整性检查会检测到这些变化。接收服务器随后可以标记或拒绝该消息。

认证验证发送者的身份。当你收到银行或同事的邮件时，身份验证会确认邮件确实来自该域名。这防止攻击者冒充可信发送者。

不可否认证明信息已被发送且未被拒绝。这在商务沟通中尤为重要，电子邮件可以作为协议或批准的记录。

这些属性通过一套电子邮件安全协议来强制执行：传输层安全、安全/多用途互联网邮件扩展和域名密钥识别邮件。

传输层安全（TLS）对邮件服务器之间的连接进行加密。
它保护邮件在互联网传输过程中，防止攻击者在传输过程中读取邮件。

安全/多用途互联网邮件分机（S/MIME）对实际邮件内容进行加密并支持数字签名。这确保了消息层级的机密性和发送方验证。

DomainKeys 识别邮件（DKIM）为每封邮件添加加密签名。接收服务器会检查该签名，以确认消息未被篡改，且来自申报的域名。

这些协议共同构成了电子邮件安全的技术支柱。但仅有协议是不够的。电子邮件安全系统必须通过多层保护措施防止未经授权的访问和数据泄露。

每一层关注问题的不同部分：

• 加密保持消息内容私密
• 认证阻碍域名欺骗
• 垃圾邮件过滤可以删除不需要或可疑的邮件
• 恶意软件检测会在发送前扫描附件和链接

例如，如果攻击者冒充你的主机提供商发送邮件，身份验证可能会将其标记为假冒，钓鱼检测可以在你点击恶意链接前屏蔽，保护你邮箱中关联的账户，从你创建邮件的那一刻起就保护它们。

为什么电子邮件安全很重要？

电子邮件安全很重要，因为电子邮件仍是日常工作、身份验证和账户恢复的主要渠道。

对大多数人来说，电子邮件不仅仅是消息工具。它与发票、合同、密码重置、登录提醒、客户支持、内部审批和账户恢复相关。

一旦有人获得了邮箱账户的访问权限，就等于拿到了通往所有关联内容的钥匙——商业工具、云存储、银行通知、个人账户，无一例外。

这正是电子邮件对攻击者如此有价值的原因。对企业而言，后果远不止一个收件箱被攻破那么简单。被盗的邮箱账户可能干扰正常运营、暴露内部数据，并损害客户与合作伙伴对企业的信任。

财务层面，影响往往立竿见影。虚假付款请求可能引发电信欺诈，被盗账户可能导致未经授权的消费或服务滥用，而事后的止损工作——停机处理、事件响应、法律事务、客户支持——同样需要大量投入。

运营层面，威胁同样不容小觑。一旦攻击者控制了某个员工账户，便可借此在内部发送恶意邮件，其传播恶意软件的速度，往往比安全团队的响应速度还快。

声誉层面，损害可能更为持久。客户若收到来自你域名的诈骗邮件，便会开始质疑你发出的每一条消息；敏感对话一旦外泄，品牌形象便难以挽回。即便技术问题得到修复，失去的信任也远比想象中更难重建。

合规层面，许多隐私与数据保护法规明确要求组织妥善保护个人及机密信息。若因电子邮件防护不力而导致数据泄露，企业可能面临罚款、强制报告义务、合同违约处罚乃至审计调查。无论各国或各行业的具体规定如何，基本要求始终如一：凡是处理敏感数据，就必须保护用于收发这些数据的系统。

电子邮件安全还能为其他网络安全策略提供支撑：

• 终端安全 — 在恶意附件和危险链接触达电脑、手机或服务器之前将其拦截。
• 身份保护 — 防止账户被盗，阻断钓鱼页面，并通过多因素认证等手段加固登录环节。
• 零信任安全模型 — 将每一封邮件都视为不可信，直至验证通过。零信任的核心在于：不因发件人名字眼熟就默认邮件安全，而是要求提供可信凭据。

做好电子邮件安全，可以有效降低欺诈、数据泄露、服务中断和账户失陷的风险。反之，一封邮件，就可能成为更大危机的导火索。

电子邮件安全的关键组成部分是什么？

电子邮件安全的关键组成部分包括：

• 电子邮件加密
• 电子邮件认证协议
• 垃圾邮件过滤与威胁检测
• 恶意软件防护与附件扫描
• 用户认证与访问控制
• 电子邮件监控与威胁响应

电子邮件加密

加密保护了邮件内容，只有预期收件人能阅读。当电子邮件被加密时，其内容在传输过程中会变成无法读取的数据。

即使有人截获了消息，没有正确的解密密钥也无法理解。

电子邮件认证协议

认证协议验证邮件确实来自它声称代表的发件人。SPF、DKIM 和 DMARC 等技术允许电子邮件服务器检查邮件是否已授权且未被篡改。

垃圾邮件过滤与威胁检测

垃圾邮件过滤器会分析来邮件，判断哪些邮件是安全的、可疑的还是不受欢迎的。他们会关注发件人声誉、消息内容、链接和行为等模式。

威胁检测系统更进一步，识别钓鱼尝试、虚假登录页面和社交工程手法。

恶意软件防护与附件扫描

该组件专注于邮件中的文件和链接。附件会被扫描已知恶意软件，且可在安全环境（称为沙箱）中打开可疑文件以观察其行为。

如果文件试图安装软件或访问敏感数据，会在到达你之前被拦截。链接还会被检查以检测旨在窃取凭证或传播恶意软件的网站。

用户认证与访问控制

这一层保护了对你邮箱账户本身的访问。它包括登录安全措施，如强密码、多因素认证（MFA）以及基于设备或位置的登录限制。

电子邮件监控与威胁响应

监控工具会追踪邮件活动，并寻找异常行为，比如从新地点尝试登录或发送邮件的突然激增。

如果检测到威胁，响应系统可以屏蔽账户、隔离邮件或提醒管理员。

这些组成部分分别解决了问题的不同部分。加密保护消息，认证验证发送者，过滤阻挡可疑邮件，扫描阻止恶意内容，访问控制保护账户安全，监控则限制泄漏造成的损害。

电子邮件攻击的工作原理

电子邮件攻击通过伪装成可信消息，诱使你点击、回复、下载或分享内容，进而让攻击者获取你的账户、数据或系统权限。

大多数电子邮件攻击遵循相似的规律：攻击者锁定目标，精心构造一封令人信服的邮件，选在合适的时机（例如工作繁忙时段）发送，然后静待收件人上钩。而收件人的下一步操作，正是将一封普通邮件变成安全事件的关键。

这种手法之所以屡屡奏效，原因很简单——人们对电子邮件的信任程度往往超出应有的边界。同事、客户、银行、快递公司、软件服务商……你每天都在等待来自这些对象的邮件。攻击者正是利用了这种习惯。他们不是强行破门而入，而是让你亲手为他们开门。

---

一次典型的电子邮件攻击，通常经历以下几个阶段。

第一阶段：收集信息

这一阶段称为侦察。攻击者会搜集姓名、职位、公司域名、合作供应商、登录入口以及近期动态。公开的企业官网、LinkedIn 主页或社交媒体帖子，往往已经提供了足够多的细节，足以编织出一条令人信服的信息。

举个例子：攻击者浏览你的公司网站，看到邮件格式为 name@company.com，并了解到你的职位是”客户支持”。于是，他们给你发来一封邮件：

“有客户投诉，请查看附件中的相关文件。”

你打开附件，因为处理客户请求本就是你工作的一部分。攻击，就此发生。

第二阶段：确定攻击目标

不同的邮件攻击，目的各不相同。有些旨在窃取密码，有些意在植入恶意软件，还有些则是为了诱骗转账或套取敏感数据。攻击目的决定了邮件的内容与形式。

若目标是盗取凭证，邮件通常会引导你进入伪造的登录页面；若目标是传播恶意软件，则往往附带文件或下载链接；若目标是实施欺诈，邮件内容则会着力渲染紧迫感与权威感。

第三阶段：构造邮件

这是社会工程学登场的环节——攻击者操控的是人，而非直接入侵系统。他们会写出一条让你感到熟悉、紧迫或重要到令你放松警惕的信息。

常见的伪装形式包括：

• 上级发来的”小忙”请求
• 银行发出的可疑交易警告
• 服务商要求你验证账户信息
• 快递公司提示你确认配送状态

高明的钓鱼邮件从不显得夸张。它们看起来再普通不过——这正是它们危险的地方。

攻击者还会借助技术手段提升邮件的迷惑性：伪造发件人姓名，使邮件看似来自真实公司；注册与可信域名极为相似的仿冒域名，例如 yourcompany-support.com，足以欺骗匆忙浏览的读者；或将恶意链接藏在”查看文档””重置密码”等看似无害的按钮文字背后。

第四阶段：发送邮件

这一步看似简单，但时机的选择往往颇具讲究。攻击者通常会在工作繁忙时段、周末前夕、月末或节假日期间发送邮件——此时人们匆匆翻阅收件箱，警惕性最低。

在商业场景中，财务、人力资源、客户支持和高管往往是重点目标，因为这些岗位掌握着付款权限、员工数据和账户访问入口。

有些攻击大范围撒网、高度自动化，垃圾邮件活动可同时触达数万个收件箱；另一些则极具针对性，专门锁定特定个人。

第五阶段：突破技术防线

邮件进入收件箱之前，需要通过垃圾邮件过滤、身份验证和威胁扫描等多道关卡。攻击者对此心知肚明，因此会刻意规避明显的风险信号。

他们可能会绕开会触发过滤器的敏感词汇，保持内容简洁自然；将恶意链接嵌入 PDF 文件或云端共享文档，而非直接置于正文；甚至借用已被攻破的真实账户发送邮件，让消息看起来来源可靠、记录正常。

人们往往默认，能进入收件箱的邮件就是安全的——事实并非如此。”送达”只意味着这封邮件通过了足够多的检测，仅此而已。

第六阶段：等待行动

邮件一旦被打开，真正的攻击才算开始。此时，攻击者依赖的是人的行为：收件人点击链接、打开附件、输入密码、批准登录请求，或回复包含敏感信息的邮件。

伪造登录页面是最典型的例子之一。邮件提示你的邮箱空间已满或账户需要验证，你点击链接，落入一个高度仿真的页面，输入密码——攻击者就此拿到了你的凭证。

另一种常见情形是，邮件附带了名为 invoice.pdf.zip 或 payment-details.docm 的文件。一旦打开并启用宏或运行文件，恶意软件便已悄然安装在你的设备上。

第七阶段：实施利用

这是攻击者将所获资源变现的阶段。盗取凭证后，他们会登录真实账户；植入恶意软件后，可能窃取文件、监控行为、横向渗透至其他系统，或为勒索软件攻击布局。若攻破了某个邮箱，还可能以此为跳板，向内部同事发送更具欺骗性的邮件。

---

最有效的电子邮件攻击，往往同时融合了两种手段：技术规避与人为操控。

技术手段负责让邮件顺利送达——伪造的发件人信息、仿冒域名、被入侵的真实账户、隐藏链接，以及专门设计用于躲避检测的附件。

人为操控则负责推动受害者采取行动——紧迫感、恐惧、权威感、好奇心，以及对日常习惯的利用。”发票逾期””密码今日到期””CEO 紧急请求”……这些主题行并不依赖高超技术，它们奏效，是因为它们迫使人先行动、后思考。

核心教训在于：电子邮件攻击之所以得逞，并非因为电子邮件系统本身已经崩坏，而是因为电子邮件将技术漏洞与人类信任融为一体。真正安全的电子邮件防护，必须两者兼顾——在邮件到达前拦截威胁，验证发件人身份，扫描链接与附件，同时帮助用户识别那些看似合理、实则可疑的请求。

---

电子邮件安全威胁的主要类型

最常见的电子邮件安全威胁包括：网络钓鱼、邮件伪造、鱼叉式钓鱼、商业邮件攻击（BEC），以及通过附件或链接传播的恶意软件。

网络钓鱼

钓鱼邮件通过伪装成可信来源，诱使你点击链接、输入密码、下载文件或泄露敏感信息。这类邮件常以银行、托管服务商或快递公司的名义发出。

典型案例：一封邮件声称你的账户即将被暂停，要求你立即登录——链接指向的，是一个专门用来窃取凭证的仿冒网站。

邮件伪造

邮件伪造是指攻击者让邮件看起来像是来自合法发件人。目的是在收件人察觉异常之前建立信任。攻击者可能伪造发件人姓名、发送地址乃至域名本身。

例如，一封邮件的显示地址看似为 billing@yourcompany.com，实际却从完全不同的地方发出。伪造手法常被用于钓鱼、欺诈和冒充攻击。

鱼叉式钓鱼

鱼叉式钓鱼是更具针对性的攻击形式。攻击者不会向大量用户群发相同内容，而是针对特定个人或岗位量身定制邮件，可能涵盖收件人的姓名、职位、公司信息或近期动态。

这种个性化使邮件更具说服力。一封伪装成薪资通知的邮件发给人力资源经理，或一封伪装成代码审查请求的邮件发给开发人员，之所以更容易得手，正是因为内容与对方的日常工作高度契合。

商业邮件攻击（BEC）

BEC 是一种利用冒充和社会工程学手段操控付款、审批或数据共享的欺诈攻击。攻击者通常伪装成企业高管、财务负责人、内部员工或供应商，有时来自伪造地址，有时则来自已被攻破的真实账户。

常见案例：一封看似来自 CEO 的邮件，要求财务团队紧急处理一笔转账。这类邮件往往不含任何链接或附件，因此单纯依赖基础过滤手段极难识别。

恶意软件与恶意附件

部分邮件攻击的目的不是直接窃取信息，而是感染设备。攻击者通过携带恶意代码的附件，或指向恶意软件下载地址的链接来实现这一目的。

附件本身看似无害——发票、PDF、电子表格、共享文档——一旦打开，便可能安装间谍软件、勒索软件或其他恶意程序。

典型案例：一封带有假发票附件的邮件提示你启用宏或解压文件。仅此一步，恶意软件便已悄然安装，开始窃取文件、记录键盘输入，甚至在网络中横向扩散。

---

值得注意的是，上述威胁之间并无明确边界，往往相互交织：钓鱼邮件可能借助伪造手段提升可信度；鱼叉式钓鱼消息可能携带恶意软件；BEC 攻击可能以凭证盗窃为起点，最终演变为支付欺诈。

保护电子邮件的最佳实践

安全邮件遵循明确的工作流程：邮件在发送前加密，通过安全渠道传输，由接收服务器检查和验证，然后才送达收件箱。同时，系统会确认发件人身份并扫描邮件中的威胁信息。

1. 使用电子邮件加密

电子邮件加密通过保护你的邮件内容，使其除了收件人外的任何人都无法阅读。

如果消息在服务器间传输时被截获，或被不应看到的人访问，内容可能会被暴露。加密通过将可读文本转换为不可读数据来解决这个问题。

简单来说，加密是利用密码算法将你的明文（称为明文）转化为加密数据，称为密文。只有拥有正确密钥的人才能将密文重新变成可读文本。

电子邮件加密主要有两种工作方式：传输层安全和端到端加密。

传输层安全（TLS）在邮件传递过程中保护邮件服务器之间的连接。它在邮件服务器之间创建加密通道，使邮件在传输过程中无法被轻易读取。

你可以把 TLS 协议看作一个安全隧道。消息通过隧道从一个服务器传输到另一个服务器，有助于防止过程中被拦截。

TLS 在邮件传输过程中提升了保密性，但邮件一旦到达服务器或邮箱，并不能完全保护邮件。这正是端到端加密变得重要的地方。

端到端加密保护的是消息本身，而不仅仅是发送消息的连接。
采用这种方法，邮件在离开发送方前就已加密，并且一直保持加密，直到收件人解密。

这里最常见的两种电子邮件加密方法是 PGP 和 S/MIME。

PGP（Pretty Good Privacy）使用一对密码密钥：公钥用于加密消息，私钥用于解密。如果有人用你的公钥加密了邮件，只有你的私钥能解锁它。

S/MIME（安全/多用途互联网邮件扩展）还支持加密消息并支持数字签名。这意味着它有助于保护机密性，同时也有助于验证消息确实来自被声称的发件人。

TLS 和端到端加密之间的区别非常重要。一个简单的理解方式是：

• TLS 负责道路安全
• PGP 和 S/MIME 对封装进行了锁定

2. 实现电子邮件认证

电子邮件认证验证消息确实来自其所声称的域名。

电子邮件认证主要依赖三种协议：SPF、DKIM 和 DMARC。每个人检查的信息不同部分。

SPF（发送者政策框架）告诉互联网哪些邮件服务器可以代表你的域名发送电子邮件。

你在域名的 DNS 设置中发布 SPF 记录。该记录列出了被授权发送邮件的服务器。

当接收服务器收到来自你域名的消息时，它会检查该 SPF 记录。如果发送服务器不在批准列表中，消息将未通过 SPF 检查。

SPF 回答了这个问题：这封邮件是从批准的服务器发送的吗？

DKIM（DomainKeys Identified Mail）为发出邮件添加数字签名。该签名是用私有密码创建的，接收服务器通过发布在 DNS 中的公钥进行验证。

这次检查确认了两个重要事实：

• 消息来自与该域名关联的服务器
• 消息发送后没有被更改

DKIM 回答了这个问题：这条信息真实吗？是否被篡改过？

DMARC（基于域的消息认证、报告与符合性）基于 SPF 和 DKIM 技术。它告诉接收服务器在邮件身份验证失败时该怎么做。

域名所有者可以设置 DMARC 策略：

• 接受信息
• 隔离它，通常是通过发送垃圾邮件
• 彻底拒绝它

DMARC 还增加了报告功能。这意味着域名所有者可以看到哪些消息通过或未通过认证，并发现域名被滥用。

DMARC 回答了这个问题：如果这封邮件未通过审核，接下来应该怎么办？

这就是为什么电子邮件认证是电子邮件安全的核心部分。它不能取代垃圾邮件过滤、钓鱼检测或加密技术。它通过让发件人身份更难伪造来支持他们。

3. 使用恶意软件和钓鱼检测

恶意软件和钓鱼检测能在有害邮件到达您的收件箱前将其拦截。这时垃圾邮件过滤和安全邮件网关就能完成大部分工作。

垃圾邮件过滤器会根据发送者声誉、消息措辞、域名历史和发送行为等模式阻断不受欢迎或可疑的邮件。

例如，如果消息来自已被钓鱼钓鱼关联的域名，或者使用了诈骗中常见的措辞，过滤器可能会将其发送为垃圾邮件或完全屏蔽。

安全的邮件网关会在邮件到达您的收件箱前检查链接和附件。当邮件包含 URL 时，网关会在发送前检查该 URL。它会分析目的地，看看是否会指向已知的钓鱼网站、虚假登录页面，或是为窃取凭证而创建的域名。

它还会将你看到的与实际发生的事情进行比较。例如，一个按钮可能写着“查看发票”，但链接可能指向完全不同的网站。这种不匹配是一个强烈的警示信号，消息可能会被标记或屏蔽。

附件也是常见风险，安全邮件网关负责检查附件。

电子邮件可能包含看似无害的文件，如发票、电子表格或 PDF。但一旦打开，该文件可能会安装恶意软件、窃取数据，或者让攻击者访问你的设备。

为了防止这种情况，网关在交付时扫描附件。它首先会将文件与已知恶意软件特征码进行核对，并标记可疑文件类型。

对于高风险情况，网关会在一个称为沙盒的受控环境中打开文件。这是一个隔离系统，文件可以安全运行，不会影响实际设备。

如果文件试图安装软件、访问数据或联系外部服务器，会被标记为恶意并在邮件到达你的收件箱前被屏蔽。

简单来说，这部分电子邮件安全提出了三个实用问题：

• 这条信息看起来可疑吗？
• 这个链接会不会通向不安全的地方？
• 这个附件会像恶意软件一样表现吗？

如果这些问题中的任何一个答案是肯定的，消息可以被屏蔽、隔离或发送到垃圾邮件，避免让你的账户或设备处于风险之中。

这就是现代电子邮件服务在实际中处理威胁检测的方式。例如，Hostinger 商务邮件内置垃圾邮件过滤、钓鱼检测和恶意软件扫描，因此有害邮件在你看到之前就已被过滤掉。

4. 建立强大的用户验证和访问控制

强有力的用户验证和访问控制保护您的邮箱账户免受未经授权的访问，即使有人窃取您的登录信息。

第一层是多因素认证（MFA）。MFA 不仅仅依赖密码，登录时还要求进行第二种验证。即使攻击者掌握了你的密码，也无法在没有这个额外步骤的情况下访问你的账户。

第二个因素可以是：

• 一次性验证码发送到您的手机或电子邮件
• 认证应用的代码
• 硬件安全密钥
• 生物识别检查，如指纹或面部扫描

下一层是访问控制，它定义了账户可以被访问的方式和地点。

访问控制不允许无限制登录，而是采用以下规则：

• 限制登录失败尝试
• 阻断来自未知或高风险地点的访问
• 新设备要求验证
• 强制执行强密码要求

这些控制措施共同将电子邮件安全从简单的基于密码的访问转变为持续的身份验证。仅凭正确的密码已不够，系统还会检查上下文、行为和风险。

差异与相关概念

电子邮件安全是更广泛网络安全系统的一部分，专注于保护电子邮件通信、处理这些通信的系统以及使用电子邮件的人。 网络安全涵盖从网络、设备到应用程序和数据的方方面面。电子邮件安全作为保护最常用且最易受攻击的沟通渠道之一的层级，融入了这一系统。

电子邮件安全与网络安全

电子邮件安全关注通过电子邮件到达的威胁。它保护邮件、收件箱、邮件服务器和用户免受钓鱼、伪造、恶意链接和感染性附件等风险。 它的任务是检查邮件是否安全、发件人是否合法，以及邮件是否应该进入收件箱。 网络安全关注流量在更广泛基础设施中的流动，保护路由器、防火墙、交换机、服务器以及系统间的连接。 它控制谁可以访问网络，监控流量，阻止未经授权的连接，并防止威胁在系统间传播。 因此，邮件安全负责在入口点处理攻击，网络安全则负责整个环境中的流量和访问管控。

电子邮件安全与终端安全

电子邮件安全专注于通信层。它检查收发邮件，防范钓鱼、伪造、恶意链接、危险附件和发件人冒充等威胁。 终端安全关注设备本身。它保护笔记本电脑、台式机、手机和服务器免受恶意软件、未经授权的访问、可疑活动和软件滥用的侵害。

以收到一封带有假发票附件的邮件为例：

• 电子邮件安全会扫描邮件、核查发件人、检测附件，并在邮件到达收件箱前尝试将其拦截。
• 终端安全则在文件被打开后介入，尝试阻止恶意代码在笔记本电脑或服务器上执行。

因此，电子邮件安全负责在威胁进入前将其阻断，终端安全则在威胁突破防线后提供保护。

云端电子邮件安全与本地邮件安全

基于云的电子邮件安全利用服务提供商托管的平台，在邮件到达收件箱前进行过滤、扫描和防护。安全工具通常通过基于网页的仪表盘在外部进行管理。 服务提供商负责基础设施、更新以及大部分日常维护工作。 本地邮件安全运行在组织自有并自行管理的系统上。过滤、扫描、策略执行和日志记录等工作均在组织内部的服务器或数据中心内完成。 组织自身的团队负责部署、更新、维护和故障排除。