你的收件箱一直是你记忆中可靠的沟通工具。它受信任的存在，正是让它成为攻击者可靠入口的原因。原本纯粹为沟通而设计的东西，已悄然成为现代网络攻击中受害最深的攻击面之一——仅仅因为它处于人们工作和决策方式的中心。
钓鱼、伪造和欺诈事件的增加，是因为邮件仍然是以最快方式在某个正要推进工作的人恰好需要时触达他们。一张采购单需要审批。一个供应商想更新付款细节。一份共享文件需要在会议前快速审阅。正是这种速度和熟悉感被攻击者利用，他们瞄准的是紧迫时刻，而非技术弱点。
邮件就像是决策过程的推动者，而这些邮件落在哪里？落在你的收件箱里。因此，我们不应以主观视角看待收件箱信任。应当有切实的保证：到达收件箱的邮件来自受信任的发件人，消息不是威胁，且采取行动不会让组织或个人的风险上升。这正是收件箱信任成为一个安全问题的地方——它需要被设计、强制执行并持续验证，而非被假定。
为何收件箱是高价值目标
正是邮件的巨大体量让收件箱成为攻击者的首选入口。更重要的是，这一单一的沟通渠道交汇了员工、客户、供应商、合作伙伴和领导层。这种交汇对网络犯罪分子具有巨大价值。
另一个突显收件箱惊人覆盖面的统计是：到 2026 年，电子邮件用户总数将达到惊人的 47 亿。与此同时，每天发送和接收的邮件达数千亿封，营造出一种体量压倒审查、速度优先于验证的环境。收件箱的数量与邮件的交换量创造了理想的滥用条件。
收件箱是审批、付款、访问请求和日常执行发生的地方，而逐一验证每条消息很困难。邮件也是攻击者最容易滥用的低成本渠道之一。一条消息可以冒充受信任的发件人、触发紧迫感，并以几乎零成本瞬时触达决策者。这是一个对网络犯罪分子而言极易被利用的场景。
通过收件箱发起的常见攻击
不久前，攻击者还会利用体量发起基于邮件的攻击，直到其中一封落地。
AI 一直是一股破坏性力量，让威胁更具杀伤力。从收件箱的角度看，AI 和自动化的兴起实现了精细定向攻击，并使这类活动部署成本更低、更难辨别。不用说，攻击者最爱以钓鱼作为首要攻击手段。原因很简单——回报丰厚。
起源于收件箱的最常见攻击通常分为四类：
1. 钓鱼与凭据窃取
一封假邮件诱使收件人将其账户 ID 和密码输入到仿冒的登录页面。一旦发生凭据窃取，攻击者便可直接访问邮箱及其中的对话。
2. 商业电子邮件泄露（BEC）
这个被攻陷的收件箱是一系列攻击的第一步，例如 BEC（商业电子邮件泄露，Business Email Compromise）。在这里，攻击者冒充高管或供应商来操纵付款或敏感 workflow。仅 BEC 一项在过去十年就造成了数十亿美元的损失。
3. 恶意链接
攻击者使用看似合法但将用户重定向到假登录页面的链接。因为点击链接是审阅文档和请求的正常部分，这些攻击很容易混入日常邮件活动。
4. 恶意附件
钓鱼的另一个要素是包含发票、PDF 或附件的邮件，在你打开时投放恶意软件。这些附件通常看起来很常规，难以与合法的业务文档区分。
一旦邮箱被攻陷，攻击者很少止步于邮件。收件箱变成了发射台——让他们能够横向移动到相连的 SaaS 应用、共享驱动器、内部工具和受信任的会话，以扩大访问和影响。
无论攻击类型如何，无论是钓鱼还是 BEC，邮件都是最常见的攻击向量之一，而这个“不起眼”的收件箱正是这一攻击的接口。
收件箱攻击剧本
攻击者以审慎而全面的方式发起收件箱攻击。
他们开展研究。攻击者从侦察开始，寻找能够审批付款、重置访问权限或移动敏感信息的人。财务、薪酬、高管助理、销售运营和 IT 支持通常排在名单前列。他们还会研究你所依赖的第三方，因为供应商关系可能是安全框架中的薄弱环节。
他们制造紧迫感。接下来是诱饵。通常是某种平常却被 urgent 化的东西。一个发票异常。一份最后一刻的合同修改。一个交付问题。一次密码重置。一份“今天需要你审批”的共享文档。重点在于让它看似合理，并在某人恰好预期该邮件或正在值班的时刻送达。
他们利用身份。从那里，他们着手身份层。有时是一个一眼就能蒙混过关的相似域名。有时是伪造的显示名，或者更糟——一个真实但已在你的企业或供应商内部被攻陷的邮箱。在这种情况下，邮件出现在一个合法的对话中，背后有上下文和可信度支撑。
攻陷。最后一步是他们等待的时刻，通常采取三种形式之一。有人将凭据输入到假登录页面。有人打开触发恶意下载的附件。或者有人回复并遵循指令，通常围绕付款或敏感信息。任何一个结果都足以让攻击者成功并更深入地进入组织。
当收件箱信任在现实压力下崩塌时会发生什么
令许多人意外的是，即使是展示了完善安全基础设施的组织，也会遭遇收件箱信任破裂。这由多种原因造成。很多时候，员工在巨大压力下工作，在 multitasking 或会议期间回复邮件。
他们并非故意疏忽，但在环境嘈杂时会打开或点击不该点的邮件。这正是连他们的安全意识培训都无济于事的地方，而攻击者正是围绕这种工作节奏设计战术。
但这无法掩盖收件箱信任已经破裂的事实。接下来会发生：
- IT 锁定系统，影响业务连续性
- 如果攻击已通过网络横向扩散并影响多个系统，组织需要一段时间才能让运营回到正轨
- 如果攻击导致数据窃取，组织会产生金钱成本
- 随着消息传向公众、分析师和投资者，声誉受损接踵而至
- 员工中悄然出现一种对每封邮件都带有一丝警惕的倾向，但这会拖慢决策
如何强化收件箱信任
重点应放在像对待组织的网络安全一样对待收件箱安全：通过部署多层防线。
从攻击者试图冒充的对象入手。强大的发件人身份验证是绝对必须的。这让你能够过滤未经验证的邮件。当你在强制执行的 DMARC 之上实施 BIMI（邮件识别品牌指标），并以正确的标记证书作为支撑时，受支持的收件箱可以显示一个蓝色对勾（已验证的品牌标识）。
- 验证标记证书（VMC）——VMC 支持注册商标徽标
- 通用标记证书（CMC）——CMC 无需商标依赖即可实现已验证的徽标展示
除视觉线索外，还应加强访问控制，使用条件访问使登录具备上下文感知能力，并锁定攻击者在进入后最爱的行为，例如创建隐蔽转发规则或滥用邮箱权限。监控在这里也很重要，因为收件箱攻陷通常通过不一致的行为暴露出来，例如异常登录、新的转发规则、出站消息的异常激增，以及奇怪的回复模式。
利用分层防御来确保收件箱信任。身份验证减少了可被伪造的内容。身份控制减少了被盗登录所能解锁的内容。检测在邮箱变成发射台之前及早捕捉微妙迹象。
结语
收件箱之所以是主要攻击向量，是因为它位于信任与行动的交汇处。它是人们审批、共享、付款、重置和决策的地方。攻击者理解这一点并利用这一环境。收件箱信任可以被建立，也可以被重建，但它必须有意为之——身份验证、护栏和检测协同工作，使合法性不被假定，而是被持续证明。