公司邮箱被钓鱼怎么上报：员工与IT各自的五分钟动作

员工点开一封「财务部要求核对付款」的邮件，输了账号密码，还在弹出的二次验证框里点了确认——攻击者由此拿到公司邮箱的完整访问权。

决定损失大小的不是技术防护，而是上报速度。5 分钟内上报，通常只损失一次改密；拖到第二天，可能出现对外群发、伪造付款、客户资料外流。所以「公司邮箱被钓鱼怎么上报」需要明确到动作序列。

一、员工侧：5 分钟内的四个动作

先别判断「是不是真的钓鱼」，那是 IT 的事。员工只需做四件事，顺序不能乱：

1. 停手：不点链接、不下附件、不转发、不回复（回复等于告诉对方邮箱是活的）。
2. 上报：用公司约定的渠道发送原邮件，优先用邮箱自带的「报告钓鱼」按钮，其次是转发到安全邮箱。
3. 说清做了什么：有点链接吗、输密码吗、批准二次验证吗、下载或运行附件吗——这四个「有没有」决定处置级别。
4. 原地等指示：别自己删邮件、也别自己改密码——IT 要取证，自行改密可能掩盖排查线索。

如果已经输了密码，立刻说，别因怕批评而隐瞒。隐瞒一小时，等于给攻击者一小时的窗口。

二、上报渠道怎么选，别只留一个邮箱

很多公司的上报邮箱形同虚设，因为员工不知道或嫌麻烦。渠道按「顺手程度」排：

建议双通道：常规用按钮，紧急用电话。只留工单系统的，往往第二天才有人处理。

三、上报时带这六项信息，IT 少问三轮

完整的上报最好包含下面这些，可做成模板贴在群里：

注意：截图会丢掉邮件头。正确做法是「作为附件转发」，或直接用报告按钮。

四、IT 侧：按「有没有交互」分成三档

处置差别全看员工有没有和邮件交互，三档对应三种强度：

最容易漏三件事：撤销已登录会话（只改密不撤会话，对方还在里面）、查隐藏转发（常转发到外部邮箱）、查第三方授权（OAuth 可绕过密码）。完整顺序见 邮箱被盗后的处理顺序。

五、涉及付款：先冻结，再查，最后才谈追回

BEC（商务邮件诈骗）里，钱一转出就很难追回，动作顺序是：

• 立刻联系银行：说明是诈骗转账，申请止付，时间以分钟计。
• 内部核对：暂停所有待付款项，改用电话二次确认（打已知号码，不打邮件里的）。
• 通知对方公司：冒充供应商时，直接拨其公开电话核实。
• 留存证据：邮件原文、转账记录、聊天记录。

更有效的是「付款双人复核 + 变更收款账户必须电话核实」，把最后一道闸放在流程里，别指望员工识别每一封钓鱼邮件。

六、别惩罚上报的人，否则下次没人报

如果员工点了钓鱼链接就被通报批评，下次他会选择沉默，而沉默的代价远高于一次误点。

可行做法：明确「上报免责」，主动上报的误点不追责，只在隐瞒导致损失扩大时处理。同时把误报当正常——十封里九封是正常邮件，IT 也别抱怨，否则按钮很快没人点。

七、事后复盘要落成三样东西

1. 规则：特征写进网关规则（发件域、主题关键词、附件类型）。
2. 名单：受影响账号清单，逐个确认已改密、已撤会话、已删转发。
3. 演练：每季度一次模拟钓鱼，看上报率而非点击率——上报率才是能力指标。

识别细节（SPF/DKIM/DMARC、仿冒域名）配合 钓鱼邮件的识别方法 与 钓鱼网站的判断信号 一起培训；账号加固见 公司统一双重验证怎么配。

八、上报机制验收清单

• □ 全员客户端已配置「报告钓鱼」按钮
• □ 有电话/群通道，处理「已经点进去」的紧急上报
• □ 上报模板贴在群公告，含六项关键信息
• □ IT 侧三档处置已写成 SOP，含撤会话与查转发
• □ 财务有「变更账户须电话复核」的硬规则
• □ 明确「主动上报免责」，全员会上讲过
• □ 每季度一次模拟钓鱼，指标看上报率
• □ 事件后 48 小时内完成规则、名单、复盘

常见问题

员工已经输了密码，还要不要先改密码？

让 IT 先做：先撤销会话与令牌，再改密，最后查转发与授权应用。只改密码不清会话，攻击者的登录态仍可能有效。

上报后邮件被删了，还能追查吗？

能，前提是保留了原始邮件头。上报时用附件转发或报告按钮，IT 侧在网关也要留存一段时间，别一删了之。

只收到没点开，也要上报吗？

要。单个员工收到说明投递批次已进入公司，IT 需要据此全网检索，把其他同事的那几封一起清理掉。这类上报成本最低、收益最高。

误报太多会不会给 IT 添麻烦？

会，但比漏报便宜。可用「一键上报 + 自动分拣」降负担：营销邮件自动归档，可疑的才进人工队列。宁可多报，也别让员工学会「算了不报」。

小结

关键是把动作切成两半：员工五分钟内停手、上报、说清是否交互；IT 按是否失陷分三档处置。再配双通道入口、上报模板和免责声明。技术防护会失效，流程不会——前提是它够短、够顺手。