钓鱼邮件怎么识别：四个可核对的地方，加一层 SPF/DKIM/DMARC 交叉验证
钓鱼邮件早就不是「中奖通知」那种水平了。现在的版本会引用你真实的订单号、用公司内部的项目名做标题、把发件人显示名写成「财务部-王经理」，附件是一个看起来正常的 PDF。
所以识别方法不能靠「感觉像不像骗子」，而要落在四个可核对的地方：真实发件地址、链接的真实域名、时间压力、附件类型。再加上一层技术判断——邮件头里的 SPF/DKIM/DMARC 认证结果。
第一处：显示名是假的，「真实地址」才是真的
邮件客户端默认只显示发件人名字，而名字可以随便填。点开详情，看尖括号里的真实地址：
| 你看到的 | 真实地址 | 判断 |
|---|---|---|
| 财务部 · 王经理 | [email protected] | 公司域名被加后缀，可疑 |
| Apple 支持 | [email protected] | 不是 apple.com，假的 |
| 顺丰速运 | [email protected] | 真域名是 sf-express.com，假的 |
| 银行客服 | [email protected] | 真正域名在最右端，假的 |
判断域名的铁律：从右往左读，最靠近结尾的两段才是真域名。bank.com.evil.cn 属于 evil.cn，和银行毫无关系。相似字符也常见：rn 冒充 m、l 冒充 I、0 冒充 o、多加一个连字符。
第二处：链接要「悬停看」，不要直接点
邮件里的按钮文字写「登录查看」，指向的可能是完全不同的地址。桌面端把鼠标悬停在链接上（不要点），浏览器/客户端会在状态栏显示真实 URL；手机端长按链接查看。
- 显示
https://bank.com/login，实际指向https://bank.com.verify-now.top→ 假的； - 链接里带一长串
?email=你的邮箱→ 常见于「确认你的账号」类钓鱼，用来预填你的地址； - 短链接（t.cn、bit.ly）看不到目标 → 先展开或直接放弃；
- 二维码图片代替链接 → 手机扫码等于绕过电脑上的防护，风险更高。
更稳的做法是不在邮件里点：打开 App 或手动输入官网地址，从站内消息中心看是否有同一件事。判断逻辑和钓鱼网站怎么识别是同一套。
第三处：时间压力是设计出来的
钓鱼邮件几乎都会制造「现在必须处理」的场景，因为拖延会让你去核实。常见话术：
- 「您的账户将在 24 小时内停用」；
- 「工资条已更新，今日内确认」；
- 「发票已逾期，请立即付款，否则影响合作」；
- 「检测到异常登录，请立即验证身份」。
反过来看：正规机构的重要通知通常可以在站内或 App 里查到同一件事。凡是「只能在邮件里点这个链接才能解决」的，先当成可疑处理。
第四处：附件类型比内容更能说明问题
| 附件类型 | 风险 | 说明 |
|---|---|---|
.html / .htm | 很高 | 本地伪造登录页，打开就是「请输入密码」 |
.iso / .img / .vhd | 很高 | 绕过邮件扫描的镜像文件，内含可执行程序 |
.lnk / .js / .vbs | 很高 | 快捷方式与脚本，双击即执行 |
| 加密压缩包（带密码） | 高 | 密码写在正文里，专门绕过杀软扫描 |
| 双扩展名（发票.pdf.exe） | 高 | 系统隐藏扩展名时看起来像 PDF |
| Office 文档要求「启用宏」 | 高 | 宏是投放勒索软件的经典载体 |
| 普通 PDF / 图片 | 低 | 但仍要看是否要求点其中链接 |
技术层：SPF、DKIM、DMARC 说明了什么
这三项是邮件域名认证机制：SPF 声明哪些服务器有权用该域名发信；DKIM 给邮件加数字签名，验证途中是否被篡改；DMARC 规定「认证失败时怎么处理」，并要求报告。三者配合，能挡掉大量直接伪造域名的邮件。
怎么看：在邮件客户端里查看「显示原始邮件 / 查看信头 / 邮件属性」，找 Authentication-Results 这一行：
spf=pass dkim=pass dmarc=pass→ 域名未被伪造（但内容仍可能是诈骗，攻击者可以用自己的域名通过认证）；dmarc=fail或spf=softfail→ 高度可疑，尤其是声称来自银行、快递、公司的邮件；- 完全没有认证结果 → 老旧系统或中转邮件，需要更谨慎。
关键认知：通过认证只证明「这封邮件确实来自这个域名」，不证明「这个域名是好人」。骗子注册 apple-support-help.com 并配好 SPF/DKIM，一样能全绿通过。
六种高频场景，各自的破绽
| 场景 | 常见破绽 | 正确做法 |
|---|---|---|
| 工资条 / 人事通知 | 要求登录外部页面、发件域名非公司域名 | 从公司内网或 HR 系统查，不点邮件链接 |
| 发票 / 对账 | 附件是压缩包或 .html、收款账户变更 | 电话核实账户变更，绝不只凭邮件改收款信息 |
| 快递异常 | 「包裹丢失理赔」、要求填银行卡 | 在快递官方 App 查单号，理赔不会要密码 |
| 共享文档邀请 | 链接指向仿冒登录页、要求「用邮箱密码登录」 | 从云盘 App 内查看共享列表 |
| 密码即将过期 | 倒计时、链接域名与公司域名不符 | 直接访问公司 SSO 入口，看是否有提示 |
| 会议邀请 / 电子票 | 附件为 .html 或 .iso、要求「验证身份领票」 | 从官方活动页或 App 查看订单 |
已经点了、已经填了怎么办
- 立刻改密码：先改被钓鱼的那个账号，再改用同一密码的其他账号；
- 下线所有会话：在账号安全设置里「退出所有设备」，防止对方保留登录态；
- 检查转发规则与恢复邮箱：攻击者常设一条自动转发，把你的邮件抄送出去；
- 检查支付与免密：解约陌生免密支付、核对账单；
- 通报：公司邮箱中招要立刻告知 IT，个人则留意后续的「精准」诈骗电话。
处置细节可以对照邮箱被盗了怎么办，那里给了完整的三道后门排查顺序。
常见问题
公司邮箱收到「领导让你转账」的邮件，怎么核实？
用已知的电话号码或当面核实，不要用邮件里给的联系方式。这类「CEO 诈骗」的关键就是切断你的独立核实渠道，所以「换一个渠道确认」本身就是最好的防御。
邮件来自熟人账号，就安全吗？
不一定。熟人账号可能已被盗，或者对方只是被冒名（显示名相同、地址不同）。看到「突然要钱、要验证码、要你点链接」，仍按可疑处理。
企业该怎么减少钓鱼邮件？
把 DMARC 从 p=none 逐步推进到 quarantine 再到 reject，并开启报告；同时给员工一个「一键举报」按钮，比反复培训有效——员工愿意上报，安全团队才能快速处置同批邮件。
手机上看不到邮件头怎么办？
多数手机客户端不支持查看完整信头。遇到可疑邮件，先在电脑端查看，或直接放弃点击、改用官方 App 核对。别为了「确认一下」在手机上点开链接。
小结
识别钓鱼邮件的稳定方法只有四步：看真实地址（从右往左读域名）→ 悬停看链接 → 警惕时间压力 → 拒绝可疑附件；技术层再用 SPF/DKIM/DMARC 做一次交叉验证，但记住认证通过不等于安全。真正的兜底仍是账号侧：一站一密、双因素、验证码不外传——这三件事做到，即使点错一次，损失也可控。