不得利用互联网电子邮件从事传播

上周我收到一封邮件，利用标题写着“您有一笔退税待领取”，互联发件人显示为“国家税务总局”。网电点开一看，邮件链接指向一个境外域名。从事传播这种邮件我见得多了，利用但每次看到还是互联忍不住想：为什么这么多年过去，垃圾邮件、网电诈骗邮件依然像野草一样，邮件割了一茬又长一茬？从事传播

互联网电子邮件从诞生那天起，就带着一个先天缺陷——发件人身份几乎可以随意伪造。利用SMTP协议设计之初，互联压根没考虑过验证机制。网电你写谁就是邮件谁，服务器大多照单全收。从事传播这个漏洞被利用了几十年，到今天依然是诈骗邮件泛滥的根源之一。技术圈里有人开玩笑说，电子邮件是互联网上最“诚实”的服务，因为它从来不对你说的话负责。

但问题远不止技术漏洞。真正让我觉得棘手的，是邮件传播背后的产业链已经高度成熟。去年有个案子，江苏警方捣毁了一个专门为境外诈骗集团提供邮件群发服务的团伙。他们手里握着上亿条邮箱地址，按“万条”为单位出售发送服务。更夸张的是，他们还提供“定制化”方案——针对不同地区、不同年龄段的人，邮件话术和钓鱼页面都不一样。这哪是发邮件，分明是精准营销的黑暗版。

法律层面其实早有规定。《网络安全法》第二十七条明确禁止利用网络从事危害网络安全的活动，《刑法》第二百八十七条之一也把“非法利用信息网络罪”写进去了。专门针对电子邮件的，还有《互联网电子邮件服务管理办法》，要求未经接收者同意不得发送商业性邮件。条文不算少，可执行起来难度不小。跨境取证、虚拟货币结算、服务器跳板……每一个环节都在给执法添堵。

我注意到一个现象：很多企业内部的邮件网关只拦“已知垃圾邮件特征”，对新型诈骗邮件反应迟钝。员工收到一封伪装成HR的“薪资调整通知”，附件是个带宏的Word文档，点开就中招。这种案例在中小企业尤其常见，因为他们往往没有专门的安全团队。大公司情况好一些，但也不是铁板一块。去年某互联网大厂内部就发生过钓鱼邮件导致部分员工账号泄露的事，事后复盘发现，邮件居然是从一个合作方的合法账号发出来的。

普通用户能做什么？说实话，别指望靠个人警惕性解决所有问题。但有几件事确实有用：别点陌生邮件里的链接，哪怕它看起来像真的；开启邮箱的两步验证；定期检查邮箱的转发规则，有些恶意软件会偷偷设置自动转发。这些操作不复杂，但能挡住大部分低级攻击。

真正让我担心的，是AI技术正在让诈骗邮件变得更“真”。以前还能靠语法错误、奇怪措辞来辨别，现在用大模型生成的邮件，措辞得体、语气自然，甚至能模仿你同事的写作风格。上个月安全圈流传一个演示：研究人员用公开的社交媒体信息，加上AI生成，成功骗过了一家公司的财务人员，让对方以为CEO在邮件里指示转账。这已经不是技术漏洞的问题了，这是社会工程学的升级版。

说到底，电子邮件的问题，本质上是信任机制的问题。我们依赖一个没有原生身份验证的系统，却指望它承载商业、政务、个人通信。这种矛盾短期内无解。立法在跟进，技术在修补，但攻击者也在进化。这场猫鼠游戏，恐怕还要持续很久。

写这些不是要制造恐慌。只是觉得，当我们每天习惯性地打开邮箱、点击“全部已读”的时候，或许该偶尔停下来想想：这封邮件，真的是它声称的那个人发来的吗？

很赞哦!（24）