技術文章 · 電郵安全 · 更新於 2026 年 · 由 TsimTung.com 香港技術團隊撰寫

釣魚郵件（Phishing）與商業電郵詐騙（Business Email Compromise, BEC）是當前企業面對的最大電郵威脅之一。攻擊者偽裝成高管、供應商或合作夥伴，誘使員工點擊惡意連結、交出憑證或誤轉資金。本文整理常見手法、識別技巧與防範清單，並說明如何以 AI 反垃圾郵件加強企業防線。

為何釣魚郵件難防？

釣魚郵件之所以屢試不爽，在於它針對的是人的判斷，而非系統漏洞。攻擊者會利用緊急感、權威感與習慣信任，讓收件人在沒有深思的情況下採取行動。常見受害目標包括財務、行政、採購與人力資源等能接觸資金或敏感資料的崗位。

常見釣魚手法

• 假冒高管／供應商（BEC）——偽造 CEO 或合作夥伴電郵，要求緊急轉帳、更改收款戶口或修改付款資料；
• 虛假登入頁面——郵件附帶看似官方的連結，引導用戶輸入帳號密碼，憑證隨即被盜；
• 惡意附件——以發票、訂單、履歷等名義夾帶帶毒文件，開啟後感染設備或勒索加密；
• 網域偽造與近似域名——將 company.com 偽造成 companv.com、company.com.hk-tw 等相似字元或子域名，極易看走眼；
• 一次性驗證碼詐騙——冒充銀行或平台，聲稱帳戶異常，誘騙用戶交出 MFA 驗證碼，從而繞過雙重認證。

五個識別技巧

遇可疑郵件，可從以下跡象快速判斷：

1. 核對發件網域——不只看顯示名稱，要點開查看實際電郵地址與網域是否與官方一致；
2. 警惕緊急或恐懼語氣——「帳戶即將停用」「限時轉帳否則違約」多為施壓手法；
3. 勿輕易點擊連結或下載附件——將滑鼠懸停於連結上，檢查真實網址；未知附件應先掃毒；
4. 拒絕提供密碼與驗證碼——正規機構絕不會透過電郵索取密碼、OTP 或一次性驗證碼；
5. 以其他渠道核實——涉及轉帳或敏感資料，務必透過電話或已知聯絡方式向發件人確認。

企業防範清單

除員工意識外，企業應從技術層面建立多重防線：

• 正確設定郵件驗證——部署 SPF、DKIM、DMARC，防止他人冒用自家網域發信（域名冒用）；詳見《SPF、DKIM、DMARC 設定完整指南》；
• 啟用多重驗證（MFA）——為所有電郵與重要帳戶開啟 MFA，降低憑證外洩風險；
• 財務雙重確認——建立轉帳與更改收款戶口的「先致電、後執行」流程，並由第二人覆核；
• 反垃圾郵件過濾——部署具備智慧識別能力的過濾系統，攔截可疑郵件於閘門之外；
• 定期備份與修補——防範勒索軟件，確保系統與設備及時更新。

員工培訓重點

人是防線的最後一環，亦是關鍵一環。建議企業：

• 定期進行釣魚模擬演練，以實際案例訓練員工識別能力；
• 建立可疑郵件通報機制，讓員工能便捷回報，並由 IT 即時處理；
• 針對財務、行政等高風險崗位加強專項培訓與確認流程；
• 將電郵安全納入新員工入職培訓，形成長期安全文化。

以 AI 反垃圾郵件加強防線

傳統反垃圾郵件多依賴黑名單、關鍵字與規則，容易被變體與偽裝手法繞過。TsimTung.com 提供基於 Deepseek 模型的 AI 反垃圾郵件加值服務，能以 HK$50／月的費用，為企業電郵系統加上一層智能防護：

• 語意理解——AI 能理解郵件語意與上下文，識別偽裝手法與社交工程意圖，對釣魚與詐騙郵件有更高命中率；
• 實際應用——該方案已於 TsimTung.com 實際應用、運作穩定，經實測有效過濾釣魚與廣告郵件；
• 輕量加值——作為現有企業電郵寄存（Standard Plan 港幣 150 元／月）的加值項目，無須更換郵件系統即可啟用。

有關送達率與郵件安全的整體策略，亦可參閱我們的企業電郵寄存頁面與《SMTP 送達率實務指南》。