2023年5月那个周二早上，诈骗我打开企业邮箱，邮箱一封标题为“紧急：内网账号异常登录，年月内网请立即验证”的进行邮件静静躺在收件箱里。发件人显示是认证“IT运维中心”，域名后缀跟公司官网一模一样。诈骗我差点就点了那个蓝色按钮。邮箱
鼠标悬停上去的年月内网瞬间，眼角扫到邮件正文里一行小字：“请在30分钟内完成认证，进行否则账号将被锁定”。认证语气急迫，诈骗像极了我们那个动不动就发全员通告的邮箱网管老周。但老周从来不会在邮件里要求“点击链接并输入域账号密码”——他只会甩一个工单链接，年月内网让你自己提交。进行
我按下F12看了看邮件源码，认证发件服务器IP指向的是一家境外云服务商，不是公司内部的Exchange服务器。把链接复制到沙盒浏览器里打开，页面做得很像公司统一认证门户，logo、配色、甚至底部的版权年份都对。但地址栏的域名是“security-check-2023.net”，多了一个破折号。
这类钓鱼邮件的套路其实不新鲜，但2023年5月这波特别“聪明”。它不再用“中奖”或“发票”这种老掉牙的由头，而是直接瞄准企业内网认证——这正是每个打工人每天都要做的事。你根本不会怀疑“让我登录一下”有什么问题，因为太顺理成章了。
更阴的是，邮件里嵌了一张伪造的“登录失败记录”截图，显示我昨天深夜有过一次异常尝试。我确实昨晚加班到凌晨，那会儿脑子昏沉，万一自己不小心输错过密码呢？这种心理暗示比任何技术手段都管用。钓鱼邮件拼的不是代码，是对人性的拿捏。
我后来问了一圈，技术部至少有三人中了招。设计组的小李更惨，她不仅输入了密码，还按页面提示输入了手机验证码——那等于把双因素认证也拱手交了出去。第二天她的账号就在内网发了一整屏的“紧急通知”，附的链接和早上那封一模一样。病毒式传播，就是这么滚起来的。
事后复盘，公司IT部门其实部署了邮件网关，但这批邮件绕过了过滤——因为发件域名是通过公司一个废弃的子域名的SPF记录混进来的。那个子域名是2019年做活动时注册的，早没人维护，成了天然的“白名单掩护”。安全这东西，最怕的不是漏洞多，而是没人记得自己开过哪扇窗。
我自己的处理方式很简单：任何邮件，只要要求输入密码或验证码，一律先手动访问官网，再从官网进入对应系统。书签栏里存了公司所有常用系统的直达链接，绝不用邮件里的跳转。麻烦是麻烦点，但总比半夜爬起来改密码强。
那天下午，全公司强制重置了域账号密码，并启用了硬件密钥。会议室里一片哀嚎，但没人再抱怨了——因为隔壁部门刚有个同事因为泄露验证码，被钓鱼团伙登录了VPN，拷走了几份客户报价单。幸好发现得早，没造成实际损失，但那张“安全警告”邮件至今还挂在公告栏里。
2023年5月这波钓鱼潮，本质上是一次精准的社会工程学试验。它不攻击你的防火墙，而是攻击你“顺手点一下”的肌肉记忆。技术防御永远有滞后性，但只要你养成了“看到链接先怀疑”的习惯，大部分鱼钩就咬不上。毕竟，真正的内网认证，从来不会用一封邮件来逼你。