數據安全 2026-10-05 CentralComputer Team
釣魚電郵防不勝防？中小企電郵安全實戰指南
釣魚電郵防不勝防？中小企電郵安全實戰指南
上個月，荃灣有間貿易公司嘅會計收到封「老闆」寄嚟嘅電郵，叫佢即刻轉 28 萬去一個新戶口，話有單急生意要落訂。個 email 地址同老闆真 email 差一個字母，會計差啲就轉咗——好彩銀行職員打電話嚟核實，先至揭發係騙局。呢類「變臉詐騙」今年我哋每個月都接到幾單，有啲公司真係中咗招，錢追唔返。
釣魚電郵已經唔係以前嗰啲「你中咗獎」咁求其，而家做得似到連 IT 人都要睇兩次。今日就教大家點樣認、點樣防，尤其係中小企，冇大公司嗰套 security team，更加要識自保。
而家啲釣魚電郵有幾真？
常見手法：
- 變臉詐騙（CEO Fraud） —— 扮老闆、扮供應商，叫你過數。上面個 case 就係
- 假 login 頁 —— 「你個 Microsoft 365 密碼即將過期，按此重設」，條 link 去咗個同 Microsoft 一模一樣嘅假網站，你一入密碼就即刻被盜
- 假發票 / 假報價單 —— 附件係個 .html 或者 .zip，一開就中 malware，成部機被騎劫
- AI 寫嘅釣魚信 —— 以前啲詐騙 email 中文唔鹹唔淡，而家用 AI 寫到字字珠璣，仲識用你公司嘅真實資料（喺 LinkedIn 執返嚟嘅）
5 秒快速驗證法
收到可疑電郵，唔使驚，用呢 5 招 5 秒驗完：
- 睇真個寄件地址 —— 唔好睇顯示名，要睇 @ 後面嗰 part。
boss@company-secure.com同boss@company.com係兩回事；仲有啲用相近字母，例如 rn 扮 m、0 扮 o - Hover 條 link 唔好撳 —— 滑鼠停喺條 link 上面（唔好撳），睇左下角顯示嘅真實網址係咪可疑
- 諗下有冇「急」 —— 「即刻！」「今日內！」「唔好同人講！」全部都係想你唔諗清楚嘅心理戰。真嘅急事，老闆會打電話
- 附件要小心 —— .html、.zip、.iso、啟用巨集嘅 Office 檔，唔係預期之內就唔好開
- 唔肯定就打電話核實 —— 用你本身識嘅號碼打返去，唔好用 email 入面提供嘅電話
中小企必做嘅 6 項電郵安全設定
- 開 MFA（多重驗證） —— 最重要嘅一項！就算密碼被盜，冇第二重驗證都入唔到。Microsoft 365 同 Google Workspace 都有，免費，一定要開
- 設定 SPF / DKIM / DMARC —— 呢三樣係電郵嘅「身份證」，防止人扮你公司寄 email。唔識搞可以搵 IT 公司幫手，一次搞掂
- 用獨立 admin 帳號 —— 日常唔好用最高權限帳號收 email，分開日常用同管理用
- 附件沙盒掃描 —— Microsoft 365 Business Premium 有 Safe Attachments，會喺虛擬環境開咗個附件先，冇事先畀你
- 定期 backup 郵箱 —— 萬一中咗勒索軟件連郵箱都 encrypt 埋，有 backup 先有得救
- 員工培訓 —— 每半年做一次釣魚演習，寄封假釣魚信睇下有幾多人中，中獎嘅要再培訓。呢個最平但最有效
已經撳咗可疑 link / 入咗密碼，點算？
唔好慌，即刻做：
- 即刻改密碼 —— 用另一部乾淨嘅裝置改，唔好喺懷疑中咗毒嗰部機改
- 登出所有 session —— Microsoft 365 喺後台可以「撤銷所有工作階段」
- Check 轉發規則 —— 騙徒好鍾意加條 secret 轉發規則，將你啲 email 靜靜轉走。去設定度睇下有冇唔識嘅規則即刻刪
- 通知 IT / 公司 —— 唔好怕醜唔出聲，越早講越有得救
- 懷疑中 malware 就斷網 —— 拔線、熄 WiFi，唔好畀佢擴散去其他機
真實案例：一個設定救返成間公司
今年初，九龍灣有間物流公司嘅採購部收到「供應商」email，話銀行戶口轉咗，叫佢將下期貨款 46 萬轉去新戶口。個 email 寫得好專業，連之前單 deal 嘅編號都啱。採購差啲就轉——但佢哋公司有個規矩：任何更改付款資料，一定要打電話去供應商本身識嘅號碼核實。一打去，供應商話完全冇呢回事。46 萬保住咗。呢個規矩係我哋上年幫佢哋做 IT 安全檢討嗰陣建議嘅，冇花過一蚊，救返 46 萬。
總結
防釣魚唔係靠一個神奇軟件，而係習慣 + 設定：開 MFA、搞好 SPF/DKIM/DMARC、養成「有懷疑就打電話核實」嘅文化。中小企資源有限，更加要將錢同時間花喺最有效嘅地方。
如果你唔肯定自己公司嘅電郵設定安唔安全，WhatsApp 我哋 CentralComputer，我哋可以幫你做一次電郵安全檢查：MFA、SPF/DKIM/DMARC、備份，一次過睇晒。
覺得這篇文章有幫助？
歡迎分享給您的朋友或同事。