商业邮件诈骗（Business Email Compromise，简称 BEC）正悄然成为全球代价最高的网络犯罪之一。仅 2024 年，受害者就报告了 21,442 起 BEC 事件，损失高达 27.7 亿美元，使其成为 FBI 互联网犯罪投诉中心（IC3）追踪的第二高损失骗局类别。

SPF、DKIM、DMARC 等技术性邮件认证机制旨在拦截伪造邮件，然而大量 BEC 攻击来自合法的邮件基础设施或高仿域名。真正缺失的，是一个能让收件人直观确认"发件人确为其自称身份"的视觉标识。

这正是 BIMI（Brand Indicators for Message Identification，消息识别品牌指标）与验证标记证书（Verified Mark Certificate，简称 VMC）登场的原因——它们通过将经过验证的品牌身份带入收件箱界面，弥补了这一缺口，把密码学层面的合规转化为可见的信任信号，帮助收件人瞬间分辨真正的品牌通信与精心伪装的身份冒充。

为何现有邮件安全措施仍存在盲区

在深入 BIMI 与 VMC 如何补位之前，先理解现行标准的局限十分必要。

SPF（Sender Policy Framework，发件方策略框架）
SPF 检查邮件是否来自发送域名授权的服务器，但在邮件转发场景下会失效，且无法校验"发件人显示名"，使用户仍易受显示名欺骗的影响。

DKIM（DomainKeys Identified Mail，域名密钥识别邮件）
DKIM 使用密码学签名验证邮件真实性，但它运行在服务器与服务器之间，并不涵盖终端用户所感知的发件人身份体验。

DMARC（Domain-based Message Authentication, Reporting & Conformance，基于域名的消息认证、报告与一致性）
DMARC 在 SPF 与 DKIM 之上构建，用于强制执行邮件投递与报告策略。然而其有效性高度依赖所设置的策略：

• 许多组织仅使用 p=none 做监控，不采取任何处置动作。
• 即便设置了 p=quarantine（隔离）或 p=reject（拒绝），攻击者仍可注册高仿域名（如 paypall.com、g00glemail.com），在另一个域名下照样通过 SPF/DKIM 校验。

此外，这些协议都在后台静默运行，绝大多数邮件用户根本看不到它们。也正因如此，人为失误始终是最后一道、也通常是最脆弱的防线——没有视觉手段保证发件人身份，人们只能依赖名称和 Logo，而这两者都极易伪造。

BIMI 与 VMC：让邮件身份可被视觉验证

BIMI 与 VMC 由此进入视野——它们并非要取代 SPF/DKIM/DMARC，而是其视觉化的对应物。

什么是 BIMI？
BIMI 是一项标准，允许组织在收件人的收件箱中，于通过认证的邮件旁边展示其官方 Logo。它借助既有的邮件认证协议（尤其是 DMARC），并将托管在公共 DNS 记录上的品牌 Logo 附带其中。但并非任意 Logo 都可以——只有 DMARC 得到妥善强制执行的域名才有资格展示。

什么是 VMC？
VMC 是由证书颁发机构签发的一种数字证书，用于验证品牌 Logo 与域名的合法性。要获得 VMC，Logo 必须完成商标注册并经过严格的审查流程。正是 VMC 让 Gmail 中 Logo 旁的蓝色对勾得以显示，表明该品牌已通过验证。

换言之：

• BIMI = 展示 Logo 的机制
• VMC = 对该 Logo 与域名配对的密码学验证

这一组合在用户面前放置了一个清晰、可信的身份标识，使其在与邮件交互前就能做出更明智的判断。

BIMI/VMC 如何反制 BEC 战术

下面拆解常见的 BEC 攻击向量，以及 BIMI/VMC 如何主动拦截它们：

• 高管冒充：只有合法发件人能展示已验证的品牌 Logo，使伪造邮件瞬间暴露。
• 高仿域名：欺诈性域名无法获取品牌 Logo，也无法获得 Gmail 的已验证对勾。
• 显示名欺骗：用户被训练去识别品牌 Logo 与对勾，而非仅依赖名称。
• 伪造供应商发票：缺乏视觉身份本身即可提示用户，这封邮件并非来自已批准的来源。
• 内部通信伪装：员工可区分带有已验证品牌的内部消息与外部威胁。

人脑处理图像的速度快于文字。一个缺失的 Logo 或对勾会立即发出"有些不对劲"的信号。BIMI 与 VMC 将邮件认证转化为可见的安全提示，把验证的负担从后端无缝地转移到用户层面。

VMC 依赖 DMARC：双重一体的 BEC 防御

VMC 的一个关键点是：除非 DMARC 以强策略级别（p=quarantine 或 p=reject）强制实施，否则无法部署。这意味着 VMC 会间接推动组织从两端同时堵住邮件安全缺口：

• 后端认证：SPF、DKIM、DMARC 必须正确配置并强制执行。
• 前端保障：已验证的视觉标识（Logo + 对勾）现在在收件箱中可见。

这种强制性的 DMARC 执行既是一项技术要求，也是一项安全收益。通过追求 VMC，组织本质上加固了自身域名以抵御伪造，并改善了收件人对合法邮件的信任。这是安全领域少见的双赢：一项由合规驱动的改进，同时提升了用户信心。

为何视觉信任已成为邮件安全不可或缺的一层

网络犯罪分子无需攻破你的基础设施即可造成破坏，他们只需说服某人"他们就是你"。在众多 BEC 攻击以品牌冒充为核心的情况下，认为没有视觉验证也能建立邮件信任的想法已不再成立。

Logo 与对勾这类视觉线索：

• 帮助用户在充斥着提醒、通知和垃圾邮件的收件箱中导航；
• 提供对真实性的瞬时识别；
• 减少对"直觉判断"或单纯 IT 培训的依赖。

在各大主流平台（无论是社交媒体、银行还是即时通讯应用）都倾向于已验证身份的时代，邮件也必须迎头赶上。随着 AI 驱动的冒充让即便看似真实的邮件也令人起疑，品牌如今依赖邮件通信中的已验证身份来重建瞬时的视觉信任。BIMI 与 VMC 是帮助组织抵御不断演进威胁的安全工具。

采用正在增长——收益亦然

Google、PayPal、CNN、Chase 等大型企业早已部署 BIMI 与 VMC 来强化邮件信任。就连美国、荷兰、加拿大等国的政府机构，也已开始采用严格的 DMARC + BIMI/VMC 策略来缓解冒充问题。

采用 BIMI 与 VMC 的收益包括：

• 钓鱼成功率下降（多家公司实施后的反馈）；
• 因可见的品牌识别带来的邮件打开率提升；
• 与可疑邮件相关的技术支持工单减少；
• 来自合作伙伴、客户与供应商的更高参与度与信任。

先行者将其视为品牌保护举措与送达率增强手段。随着 Gmail、Apple Mail、Yahoo Mail 均支持 BIMI 与 VMC，视觉信任的基础设施已然就位。

结语

当今的网络犯罪分子不是"攻破"你的系统，而是"登录"进去；他们不只是伪造，更是说服。BIMI 与 VMC 为现代问题提供了现代解法：它们把视觉认证带到邮件安全的人类层面——而绝大多数 BEC 攻击正是成功于此。

如果你的品牌值得被保护以免受冒充，请从"已验证的可见性"开始。采用 BIMI 与 VMC，让每一封邮件都成为信任的标识。验证标记证书可让你在邮件中展示官方注册商标 Logo，使收件人轻松信任你的消息，从而抵御以冒充为核心的商业邮件诈骗。