客戶來電問「你們是不是換了匯款帳戶？」、同事收到一封從自己信箱寄出、自己卻沒寫過的信，或是雲端服務跳出陌生地點的登入告警，這些都可能是公司信箱帳號已經被盜用的訊號。信箱被盜不是改個密碼就結束：微軟的應變指引把停用帳號、撤銷工作階段、檢查 MFA、檢查應用程式授權、檢查管理角色與轉寄設定列為各自獨立的步驟，因為這些都是攻擊者在密碼之外維持存取、日後重新取得控制的管道[1]。

這篇寫給使用 Microsoft 365 或 Google Workspace 的中小企業 IT 管理者：先辨識跡象，再依兩家廠商的官方文件說明止血的順序，接著是如何查出攻擊者讀了哪些信、寄了哪些信（記錄有保存期限，拖越久能查的越少），最後是通知往來對象、通報與防止再發生。事件應變的一般原則見疑似遭入侵的前 24 小時。

先判斷：信箱被盜的常見跡象

微軟列出的 Microsoft 365 信箱遭入侵常見跡象包括[1]：

  • 信箱被封鎖，無法寄信。
  • 郵件無故遺失或被刪除。
  • 可疑的收件匣規則，例如自動轉寄到不明地址，或把郵件移到 Notes、Junk Email、RSS Subscriptions 這類平常不會去看的資料夾。
  • 寄件備份或刪除的郵件中，出現使用者沒寫過的信。
  • 最近新增了外部轉寄。
  • 密碼頻繁變更，或帳號無故被鎖定。
  • 全域通訊清單裡的聯絡資訊或郵件簽名被改。

除了信箱本身，也要看帳號層級的變化：MFA 是否多了不認得的裝置或驗證方式、使用者是否同意過可疑的應用程式存取資料[1]。Microsoft 365 有幾項預設警示原則和這些跡象直接相關，包括有人建立轉寄或重新導向的收件匣規則（只追蹤透過 Outlook 網頁版或 Exchange Online PowerShell 建立的規則）、自動轉寄到可疑的外部帳號、寄信模式可疑，以及使用者被限制寄信；各項警示需要的訂閱方案不同[2]。Google Workspace 的使用者記錄事件（User log events）可以列出網域內成功與失敗的網頁登入，可疑的登入會以警告圖示標示[3]。

收件匣規則與轉寄值得特別注意：它們能讓信箱主人看不到往來對象的回覆或退信，商業郵件詐騙的實際案例見網路釣魚與商業郵件詐騙；數位發展部資通安全署也指出，駭客常在後台暗中設定轉寄，藉此同步攔截驗證碼再次入侵[4]。如果是客戶收到一封「從你們寄出」的付款變更通知，先用 Microsoft 365 的訊息追蹤（Message trace）[1]或 Google Workspace 的電子郵件記錄搜尋（Email log search）[3]確認那封信是否真的從公司的系統寄出。查得到，就照本文處理帳號盜用；查不到，可能是對方的信箱被入侵，或有人冒用、仿冒你們的網域，後者的處理方式見SPF、DKIM、DMARC 部署指南。

止血：順序比速度更重要

最常見的錯誤是「改完密碼就收工」。改密碼擋得住用舊密碼重新登入，但不一定擋得住已經存在的東西：已登入的工作階段、應用程式密碼、使用者同意過的應用程式，以及自動轉寄與收件匣規則。微軟指出，重設密碼不會自動撤銷應用程式密碼[1]；Google 也提醒重設密碼後要一併重設使用者的登入 Cookie[5]。資通安全署 2026 年 7 月發布的《資安事件應變處理行動指引》同樣把清查郵件過濾器與自動轉寄規則、變更密碼後強制登出所有裝置與應用程式，列為帳號被盜時的應變動作，並提醒不要繼續使用受駭帳號，因為駭客通常已在後台建置後門或重設存取憑證[4]。如果攻擊者是透過 AiTM 釣魚竊取登入後的工作階段（手法見多因素驗證導入指南），撤銷工作階段更是不能省略的一步。原則是：先讓帳號暫時無法使用，再一次清掉所有存取管道，調查告一段落後才把帳號還給使用者。動手刪除規則或授權之前，先截圖或匯出設定內容，留作調查證據。

Microsoft 365

  1. 停用帳號：微軟建議在調查完成前停用受影響的帳號；無法停用時，次佳做法是重設密碼。新密碼不要用電子郵件寄給使用者，因為攻擊者可能還讀得到信；帳號若從地端 Active Directory 同步，要在 AD 重設密碼，而且重設兩次[1]。
  2. 撤銷工作階段：在 Microsoft Entra 管理中心開啟該使用者，於 Account status 取消勾選 Account enabled，再到使用者概觀頁選擇 Revoke sessions；也可以用 PowerShell 的 Revoke-MgUserSignInSession[6]。撤銷後帳號無法再取得新權杖，但已核發的存取權杖要到過期才失效，預設有效期為 1 小時；應用程式自行核發的工作階段權杖，Entra ID 也無法直接撤銷[6]。
  3. 清除應用程式密碼：重設密碼不會自動撤銷應用程式密碼，要刪除既有的再重新建立[1]。
  4. 檢查 MFA：檢視使用者註冊的 MFA 裝置與驗證方式，移除不認得的項目[1]。
  5. 檢查應用程式授權：檢視使用者同意過的應用程式，移除並撤銷不該存在的授權[1]。確定某個應用程式是惡意的，微軟建議「停用」而不是刪除：只刪除的話，日後若有其他使用者再次同意，它可能又回來；停用後它無法再取得新權杖存取資料[7]。
  6. 檢查管理角色：移除不應有的管理角色[1]。
  7. 檢查轉寄與收件匣規則：在 Exchange Online PowerShell 用 Get-Mailbox 檢查信箱的轉寄設定，ForwardingSmtpAddress 有值代表郵件被轉寄到外部收件者；再用 Get-InboxRule -IncludeHidden 列出包含隱藏規則在內的所有收件匣規則，找出轉寄與重新導向的設定[1]。同時檢查信箱的委派與共用權限，確認沒有多出能代為讀信或寄信的帳號。

調查結束後，重設密碼並重新啟用帳號。如果這個帳號曾被拿來大量寄信，可能已被列入 Restricted entities 而無法寄信，需要由管理者移除[1]。

Google Workspace

Google 的檢查清單把暫停使用者（Suspend）列為第一步，因為停權會同時重設該使用者的登入 Cookie 與 OAuth 權杖[3]。接著：

  1. 撤銷存取：重設密碼、撤銷該使用者的 OAuth 2.0 權杖，並移除使用者建立的應用程式密碼[3]。如果沒有先停權而是直接重設密碼，要到使用者帳戶頁的 Security > Sign-in cookies > Reset 重設登入 Cookie；密碼重設後，Apple Mail、Thunderbird 等以 OAuth 存取信件的第三方郵件程式會停止同步，直到使用者用新密碼重新登入[5]。
  2. 調查：被盜的若是管理員，先檢查管理員稽核記錄中的設定變更；檢視與帳號連結的行動裝置，抹除可疑裝置；再用使用者記錄事件、電子郵件記錄搜尋與 OAuth 記錄事件追查（見下一節）。轉寄等使用者層級的 Gmail 設定，可以透過 Gmail API 取得[3]。
  3. 歸還帳號：取消停權，給使用者臨時密碼，並要求設定一組不與其他網站共用的新密碼；和使用者一起完成 Gmail 安全檢查清單，確認篩選器、轉寄設定與帳戶復原資訊都沒有被攻擊者改過[3]。

調查：攻擊者讀了什麼、寄了什麼

止血之後要回答兩個問題：攻擊者在信箱裡看了哪些信？用這個帳號寄了哪些信？答案決定要通知誰，以及是否涉及個資外洩。麻煩的是，各種記錄的保存期限不同，有些只有幾天。微軟也提醒，稽核若在攻擊發生前就沒有啟用，事後就沒有資料可查[7]。

Microsoft 365

  • 統一稽核記錄：Microsoft Purview 稽核（標準）預設啟用，記錄保存 180 天（2023 年 10 月 17 日以前產生的記錄為 90 天）；稽核（進階）預設把 Microsoft Entra ID、Exchange、OneDrive 與 SharePoint 的稽核記錄保存一年，並可自訂保存原則[8]。
  • Entra 登入記錄另外計算：Microsoft Entra 的登入與稽核記錄和 Microsoft 365 統一稽核記錄是分開的。Entra ID Free 只保存 7 天，P1、P2 保存 30 天；事後升級授權也救不回已過期的資料，需要更久就得事先透過 Azure Monitor 封存到儲存體帳戶[9]。換句話說，沒有 P1 或 P2 授權的公司，登入記錄可能只剩一週。
  • MailItemsAccessed：這個信箱稽核動作記錄郵件透過 POP、IMAP、MAPI、EWS、Exchange ActiveSync、REST 等協定被存取的情形，屬於稽核（標準）功能，對指派 Office 365 或 Microsoft 365 E3／E5 授權的使用者預設啟用[10]。存取分兩種：同步（sync）只在桌面版 Outlook 下載整批郵件時以資料夾為單位記錄，微軟的作法是把該資料夾裡的郵件全部視為已外洩；繫結（bind）則記錄每封被存取郵件的 InternetMessageId，可以據此列出攻擊者看過哪些信[10]。比對 ClientIPAddress、SessionId 等欄位，能區分攻擊者與使用者本人的活動；但攻擊者若把郵件同步到自己的電腦後離線閱讀，信箱稽核就無從記錄[10]。
  • 寄了什麼：用 Microsoft Defender 入口網站的訊息追蹤，找出可疑期間由該帳號寄出的郵件，並對照寄件備份[1]。

Google Workspace

  • 使用者記錄事件：可回查最長 6 個月的網頁登入記錄[3]。
  • 電子郵件記錄搜尋：查看進出該帳號的郵件傳遞記錄[3]，但只保留 30 天[11]。
  • Gmail 記錄事件與 OAuth 權杖記錄事件：保存 6 個月；OAuth 記錄事件可能要數小時後才出現在查詢結果中[11]。
  • 無法延長：Google 說明管理者不能刪除記錄事件資料，也不能變更保存期間[11]。

實務上，發現帳號被盜的當天就把相關記錄匯出保存，不要等調查結束；平時該把哪些記錄集中、保存多久，見日誌與記錄保存。

後續：通知往來對象、攔下付款、通報

信箱被盜最直接的損失，往往發生在別人身上：攻擊者用你的信箱寄出付款變更通知，受騙的是你的客戶；也可能冒用被盜的主管或業務信箱，要求自家財務把款項匯到新帳戶。

  • 列出收件人：從訊息追蹤或電子郵件記錄搜尋，整理事發期間由該帳號寄出的郵件與收件人[1][3]。
  • 主動通知：資安署建議主動通知與該帳號往來的聯絡人、內部同仁與客戶，提醒他們對近期以該帳號名義發出的請款訊息、連結或檔案保持警覺[4]。實務上，用電話或既有聯絡管道通知客戶與供應商，說明這段期間由該信箱寄出的付款或帳戶變更通知都不要照辦，後續變更一律回撥既有號碼確認。付款變更的核實流程見網路釣魚與商業郵件詐騙。
  • 檢查內部付款與綁定系統：請財務清查事發期間收到的收款帳戶變更與待付款項，暫緩執行；任何變更匯款帳戶或緊急請款的要求，都要用原契約登記的電話、傳真或當面向對方窗口再次確認，不可直接回覆可疑郵件[4]。也要清查綁定這個帳號的網路銀行、第三方支付與企業採購系統，防範未經授權的採購與付款[4]。
  • 已經匯款：第一時間透過銀行官方網站或確認過的專線電話聯絡往來銀行，要求攔阻匯款；同步撥打 165 反詐騙諮詢專線，並備妥對話紀錄與交易憑證，到所在地警察機關報案[4]。詐騙郵件的標頭、通訊紀錄、附件與匯款憑證都要完整保留、不要刪除，並諮詢法務，以利後續追訴與保險理賠[4]。止付、警示帳戶的流程，見冒名與深偽詐騙。
  • 資安事件通報：一般企業可以透過 TWCERT/CC 一般資安通報的線上表單，或寄信至 int_report@cert.org.tw 通報[12]；受資通安全管理法規範的機關與上市櫃公司另有通報或揭露義務，見疑似遭入侵的前 24 小時。
  • 個人資料：信箱裡常有客戶名單、報價單、身分證件影本。微軟提醒，調查信箱入侵時應假設外洩的郵件比實際追查到的更多，而且視郵件內容而定，若無法證明敏感資訊沒有外洩，可能面臨主管機關的罰款[10]。確認或無法排除個資遭存取時，依個資外洩應變評估通知義務。

如果內部人力無法同時處理止血、調查與對外溝通，可以考慮尋求事件應變服務協助。

防止再發生

  • 改用抗釣魚 MFA：微軟建議為受影響的帳號啟用並強制 MFA，並指出 MFA 對管理員帳號尤其必要[1]；Google 建議以安全金鑰取代兩步驟驗證碼，以抵抗釣魚[3]。方式比較見多因素驗證導入指南。
  • 封鎖舊式驗證：微軟分析，超過 97% 的撞庫攻擊與超過 99% 的密碼噴灑攻擊使用不支援 MFA 的舊式驗證協定；可以用條件式存取原則封鎖，沒有條件式存取授權的組織則可啟用安全性預設值（security defaults）[13]。Google Workspace 這邊，定期盤點並移除不再需要的應用程式密碼。
  • 預設禁止自動外部轉寄：Microsoft 365 的輸出垃圾郵件原則有三種自動轉寄設定，預設值 Automatic - System-controlled 的實際效果因組織而異，微軟建議明確設為 On 或 Off；設為 Off 後，轉寄到外部的收件匣規則與信箱轉寄都會失效，內部轉寄不受影響；如果確實有業務需要，微軟也提到可以在原則中允許自動轉寄，再用遠端網域（remote domains）限制能轉寄到哪些外部網域，兩邊設定衝突時通常是封鎖的一方生效[14]。Google Workspace 的自動轉寄預設開啟，可以在 Admin console 的 Apps > Google Workspace > Gmail > End User Access 關閉，或限制只能轉寄到內部地址，也可以依機構單位分別設定[15]。
  • 限制使用者自行授權應用程式：Microsoft Entra 預設允許使用者自行同意不需管理員同意的權限，例如讓應用程式存取自己的信箱；微軟建議只允許經過驗證發行者、且屬於低影響權限的應用程式，其他交由管理員審核[7]。Google Workspace 則在 Security > Access and data control > API controls 設定，未設定的第三方應用程式預設為「允許使用者存取任何第三方應用程式」，可以改為只允許要求基本登入資訊的應用程式，或在管理者設定之前一律封鎖[16]。
  • 讓告警有人看：確認 Microsoft 365 與轉寄規則、限制寄信相關的預設警示會送到實際有人處理的信箱[2]；Google Workspace 管理者可以開啟帳戶活動警示，在可疑登入或其他管理員變更服務設定時收到通知[3]。另外每季盤點一次全公司的收件匣規則與轉寄設定。

行動清單

  • 把本文的止血順序（停用、撤銷工作階段、應用程式密碼、MFA、應用程式授權、管理角色、轉寄與規則）寫成公司自己的作業程序，並註明在哪個主控台操作、誰有權限。
  • 今天就確認：Microsoft 365 的稽核是否開啟、Entra 登入記錄保存幾天；Google Workspace 的電子郵件記錄搜尋只有 30 天，需要更久的記錄要另外匯出保存。
  • 把自動外部轉寄設為預設關閉，有業務需要的帳號列冊開放。
  • 限制使用者自行授權第三方應用程式，並開啟管理員審核流程。
  • 封鎖舊式驗證，盤點並清除不再需要的應用程式密碼。
  • 管理員、財務與高階主管的帳號優先改用抗釣魚 MFA。
  • 確認轉寄規則、異常寄信與可疑登入的告警有人收、有人處理。
  • 準備一頁聯絡卡：往來銀行窗口、165、TWCERT/CC 通報方式、主要客戶與供應商的既有聯絡電話。
  • 用「主管信箱被盜、客戶收到假的匯款通知」當情境做一次桌上演練。