防範釣魚詐騙郵件案例心得：一般人也能做到的 7 個保護步驟

今天早晨，正在準備著週六的講座課程，一起在客廳工作的老婆，忽然把她的手機給我看，說她在 iPhone 的內建電子郵件軟體中，收到一封寄件者顯示為「 AppleID 」，標題為「你在 iTunes 上的 Spotify 付費訂閱即將續訂」，內文則「提供了一個可以取消的連結」。

老婆心生疑惑，她有用過 Spotify 但也已經取消訂閱了，這封郵件是真的嗎？還是時下常見的釣魚詐騙郵件？於是她請我確認看看。

當然，這是一封釣魚詐騙郵件，如果要仔細檢查的話可以看出幾個端倪：他的寄件者郵件地址並非真正的 Apple 公司（雖然名稱假冒是）、他的點擊網頁網址並非真正 Spotify 或 iTunes 地址、他有奇怪而不必要的附加檔案。

不過如果不仔細看，這些釣魚詐騙郵件還假冒的有幾成像，確實很容易讓使用者上當。

那麼，在辨識「釣魚詐騙郵件」上，有沒有什麼方法呢？尤其是對「沒有 IT 背景、沒有程式技術」的一般人來說，我們可能不會檢查郵件原始碼、不會做進階分析追查，那有沒有一般人也可以學會的基本檢查方法呢？

這篇文章，就以老婆遇到的真實案例出發，來分享我個人認為一般使用者也能簡單做到與理解的「防範釣魚詐騙郵件」步驟。

為了上網安全，下面兩篇我在電腦玩物寫過的文章也推薦大家參考：「我如何預防與移除 Facebook 臉書病毒、惡意軟體與盜帳號 」、「保護10個最重要網路帳戶：帳號兩步驟驗證教學大全 」。

1.識別郵件標題

這類釣魚詐騙郵件類型非常多變，除了那些「最容易辨識的」情色郵件、獵奇郵件（某某熱門檔案下載）、恐嚇郵件（如果不怎樣，就會損失多少金額），這些基本款我們要先有基本認知，郵件內容本身可能就違法的信件他的本質也不會好到哪裡去，更沒必要為了好奇心，去打開可疑的郵件。

但並非釣魚詐騙郵件只有獵奇、情色、恐嚇！很多更聰明的釣魚郵件會假冒成跟正經的時事有關（例如之前的二代健保繳款說明），或是假裝成跟你的真正工作有關（例如你的某某帳號確認），這時候我們就需要更近一步確認。

所以第一步，先從郵件標題，辨識過濾掉獵奇、情色、恐嚇的內容。接著如果是跟時事、工作有關，而你真的很想看看，那麼就進行下面的步驟。

2.確認寄件者地址

接著可以確認一下寄件者是誰？要記得不只看寄件者的顯示名稱（這個最容易假冒），也要看寄件者的「郵件地址」，是不是真的是對方公司、單位、個人真正可信任的郵件地址呢？如果你不確定，就把寄件地址複製下來去 Google 一下，說不定就查到這是詐騙郵件地址了。

例如我老婆的這個案例，雖然名稱假冒成 AppleID，但寄件地址卻不是 Apple 公司的地址，一看就知道是釣魚詐騙。

但是！也並非確認寄件地址就好，因為「寄件地址」也是可以假冒的！這一點大家一定要有基本認知，就算看到對方寄件地址好像真的是對方公司地址，也不代表這就是安全郵件（例如現在有很多假冒外商公司的郵件，會去跟外商公司的客戶詐騙錢財）。

所以同樣的，這也只是過濾的第二步，幫我們過濾掉那些「不認真」，沒有假冒寄件地址的詐騙釣魚郵件。不過大多數釣魚沒有那麼認真，所以這一步就可以過濾掉大多數詐騙。

但這樣也還不夠，就算有查詢後好像是真的寄件地址，我們還要懂得下面幾步基本觀念。

3.查看是否有可疑附加檔案

釣魚詐騙喜歡用下載附加檔案的方式，來入侵你的電腦。

但仔細想想，現在已經是雲端工作時代了，有那麼多需要下載檔案來執行的必要嗎？現在的郵件編排很進步了，有什麼圖文內容不能在郵件或網頁直接顯示，而一定要你另外下載檔案看嗎？

更何況有時候郵件裡插入莫名其妙的檔案，例如老婆的這個案例中，莫名其妙插入一個圖檔，這都是很可疑的行為。

而有這些可疑行為的郵件，都要提高警覺，如果是不必要的工作或時事內容，其實直接刪除也沒差。

4.懷疑內文要你點擊的連結

釣魚詐騙郵件也喜歡要你去「點擊一個連結」、「開啟某個功能」、「執行某個認證動作」。

這時候可以有幾個判別流程，一般的網路也會有類似動作沒錯，但通常是「我做了某個行為，所以立即收到需要確認的郵件」，例如我剛剛註冊了一個網站，立即收到網站確認信。但如果是「我剛剛沒做什麼，忽然收到確認郵件」，例如我老婆收到要取消訂閱的信，就是可疑行為。

而面對可疑行為，前面幾個步驟的判斷又讓你覺得好像是真的，這時候你可以確認的是「連結點開的網址真的是對方公司的網址嗎？」，仔細確認一下網址的正確性，或是「把網址拿去 Google 一下」，就可以辦別出是不是惡意釣魚網頁。

Google 不可能用一個網址不是 google.com 的網頁去要你確認身份（但你要仔細看，釣魚網頁不是把 oo 假冒成 00 ）。

而且如果當點開網頁後，「還要你另外安裝什麼軟體才能使用」，這也絕大多數是可疑的釣魚網頁，現在網路技術那麼發達，單純網頁就做到很多影音功能，哪有另外安裝軟體的需要？

當然，點開網頁後要你輸入身份驗證、密碼驗證之類的網頁，當你覺得可疑時，最好都不要處理。

5.使用 Gmail 等服務幫你檢查

另外，比起使用單機軟體直接收信，有時候使用雲端的服務，像是 Gmail 的網頁端收信，他可以在收信時幫你做一部分的「寄件者驗證」、「郵件驗證」，這也可以過濾掉大多數的釣魚詐騙。

6.使用 VirusTotal 檢查附加檔案（但最好連下載都不要）

雖然說，有可疑檔案最好連下載都不要，但如果真的很難確認，還是很想下載，那起碼下載後先不要開啟，先上傳「 VirusTotal 」掃毒服務，看看檔案有沒有病毒。

7.聯繫寄件者確認

最後，前面的步驟如果都確認過了，還是覺得無法判斷到底是釣魚還是真的，如果可以時（例如是以朋友或客戶公司名義寄來），那就用電話、簡訊、即時通去跟寄件者確認看看是不是真的郵件吧！

• 你或許還會感興趣的文章：

1.如何收集資料：如何有效收集資料？給知識工作與學習者的建議流程

2.如何高效率閱讀：從讀不完的稍後閱讀轉念：當下讀完，當下處理 

3.保護資訊閱讀品質：我如何保護上網閱讀注意力？ 

＊感謝您閱讀電腦玩物 Esor 的文章，電腦玩物專注人性化的高效率工作方法，您可以追蹤「電腦玩物 Facebook」，或是參考 Esor 的改進工作效率相關「課程」、「書籍」，更歡迎把電腦玩物加入你的 RSS 訂閱清單。

本文為個人心得，為了避免在其他網站討論失焦，禁止其他網站全文轉載：防範釣魚詐騙郵件案例心得：一般人也能做到的 7 個保護步驟