2023年秋天，近年某外贸公司财务人员点开了一封“客户”发来的不法对账单邮件。附件是分利个Excel文件，打开后界面正常，用电邮件数字也对。系统三天后，漏洞公司账户少了47万美元。近年那封邮件里嵌了一个几乎无法察觉的不法恶意宏，专门偷取邮箱密码和通讯录。分利这不是用电邮件电影情节，是系统真实发生在宁波的案子。

邮件系统本身并不脆弱。漏洞脆弱的近年是人，以及那些被默认开启的不法、懒得去关的分利协议。比如POP3和IMAP，很多企业图省事，直接明文传输密码。攻击者坐在咖啡馆里连上同一个Wi-Fi，抓包就能拿到登录凭证。更离谱的是SMTP——发送邮件用的协议，不少服务器至今允许未授权转发。这意味着任何人可以伪造发件人地址，冒充老板给全公司发“紧急付款指令”。

我翻过一份2022年的网络安全报告，里面提到一个细节：超过六成的企业邮件攻击，源头是钓鱼邮件里的一个链接，而不是复杂的漏洞利用。链接点进去，是个和Outlook登录页一模一样的假页面。输完密码，页面跳转回真实邮箱，用户毫无察觉。攻击者拿到密码后，第一件事是设置自动转发规则——把所有 incoming 邮件悄悄抄送一份到外部地址。等发现时，商业机密已经流出去几个月了。

有个做医疗器械的客户跟我聊过。他们公司用了某国产邮件系统，管理员密码居然是“admin123”。攻击者进去后没改密码，也没删数据，只是加了一条过滤规则：凡是邮件主题含“合同”“报价”“发票”的，全部转发到境外一个邮箱。持续了八个月。直到有一次对方在谈判中报出了他们从未公开的底价，才东窗事发。

邮件协议的设计年代太早了。1982年的SMTP，压根没考虑过认证和加密。后来打的补丁——SPF、DKIM、DMARC——能挡一部分伪造，但部署率低得可怜。很多中小企业觉得“我们小，没人盯上”。可攻击是自动化的，扫描器每天在互联网上爬，找的就是那些没配SPF记录、开放中继的服务器。你小不小，机器不关心。

另一条路是客户端漏洞。Outlook、Foxmail、Thunderbird，历史上出过不少远程代码执行的问题。用户只是预览了一封邮件，恶意脚本就在本地跑起来了。2021年有个Outlook的零日漏洞，攻击者发一封特制邮件，收件人什么都不用点，看一眼预览窗格就中招。微软后来发了补丁，但很多企业内网机器半年都不更新一次。

我见过最粗暴的手法，是直接暴力破解。某高校邮件系统没有登录失败锁定，攻击者用弱密码字典跑了一晚上，拿下了三百多个学生账号。然后用这些账号给通讯录里的联系人发“帮我买点卡”的诈骗邮件。学生发现时，账号已经被用来发了上万封垃圾邮件，IP进了黑名单。

防御这事，说复杂也复杂，说简单也简单。强制开双因素认证，能挡掉九成以上的密码窃取。把SPF、DKIM、DMARC配齐，伪造发件人就难了。关掉不必要的协议，比如POP3，只用IMAP over SSL。定期查邮件转发规则和过滤器，那地方是攻击者最爱藏身的地方。员工培训别搞成念PPT，拿真实钓鱼邮件做测试，点链接的就罚他请全组喝奶茶。效果比什么都好。

邮件不会消失。它太方便，太通用，太根深蒂固。只要还有人用它传合同、发工资条、聊并购案，攻击者就会继续盯着那个小小的“发送”按钮。漏洞在代码里，也在习惯里。补代码容易，改习惯难。