網路釣魚是攻擊者最常用的入侵起點之一：一封看似來自主管、IT 部門或往來廠商的訊息，目的通常是騙取帳號密碼，或讓收件者點開連結、開啟附件而執行惡意程式[1]。商業郵件詐騙（Business Email Compromise，BEC）則把目標直接放在錢上：歹徒冒用或入侵往來對象的信箱，要求財務人員把款項匯到「新帳戶」。美國聯邦調查局（FBI）網路犯罪申訴中心（IC3）2025 年收到 24,768 件 BEC 申訴，申報損失約 30.5 億美元，在所有詐騙類型中僅次於投資詐騙[2]。

這篇寫給管理郵件系統的 IT 人員、負責付款的財務與採購主管，以及需要決定資源投入的管理階層：先認識常見手法與警訊，再從技術設定與付款流程兩端降低風險，最後整理在台灣可以求助與通報的管道。

常見手法

帳密釣魚與惡意附件

最常見的形式是冒充同事、主管、IT 人員或知名服務，引導收件者到仿冒的登入頁輸入帳密，或開啟含巨集、惡意連結的附件[1]。誘餌也不限於電子郵件：簡訊與 Teams、Slack、WhatsApp 等通訊軟體同樣被利用，而手機的小螢幕更難看清完整網址[1]。

QR Code 釣魚

把釣魚連結做成 QR Code 放進郵件或附件，要求收件者「掃碼完成驗證」或「掃碼查看共享檔案」。連結藏在圖片裡，使用者又改用手機開啟，等於繞過了公司電腦上的網址過濾與端點防護。判斷原則與一般連結相同：任何要求掃碼後登入公司帳號的訊息，都先透過已知管道向對方確認。

中間人（AiTM）釣魚：有 MFA 也可能被接管

進階的釣魚工具會在受害者與真正的登入網站之間架設代理伺服器，即時轉送雙方的內容。使用者看到的是真實的登入流程，也確實完成了多因素驗證，但攻擊者同時拿到密碼與登入後的工作階段 Cookie，之後可以直接以使用者身分存取，不必再通過 MFA[3]。微軟觀察到一波這類活動自 2021 年 9 月起嘗試鎖定超過一萬個組織；在部分案例中，攻擊者竊得工作階段後最快 5 分鐘就開始進行付款詐騙，搜尋與財務、發票有關的郵件串並直接在其中回信，還設定收件規則把對方的回覆移到封存資料夾並標為已讀，讓信箱主人察覺不到[3]。這也是「已經有 MFA」不代表不會被釣魚的原因，選擇哪種 MFA 見多因素驗證導入指南。

商業郵件詐騙與假冒廠商請款

IC3 對 BEC 的定義是：鎖定與供應商往來、經常進行匯款的企業或個人，透過入侵電子郵件、電話號碼或視訊會議等通訊管道，以社交工程或電腦入侵手法促成未經授權的轉帳[2]。常見情境包括假冒老闆要求緊急匯款、假冒供應商通知「銀行帳戶變更」，或是在真實的請款郵件串裡插話。IC3 也指出，2025 年已有企業申報超過 3,000 萬美元的損失與運用 AI 的 BEC 有關，例如用 AI 產生模仿高階主管語氣的郵件，或以語音複製要求匯款[2]。

冒名簡訊與通訊軟體訊息

在台灣，冒用政府機關或知名企業名義的簡訊與通訊軟體訊息相當常見。數位發展部資通安全署 2026 年 8 月曾發布新聞稿，提醒有人以近似名稱發送「為因應勒索軟體攻擊，須緊急下載終端防護元件」的簡訊並附上短網址，並強調該署不會發送這類簡訊，也不會致電要求操作轉帳[4]。政府專屬簡訊已逐步改由「111」短碼發送[4]；數位發展部並自 2025 年 6 月起在 111 簡訊開頭加上收訊者手機號碼末 3 碼與機關名稱，作為辨識依據[5]。

收到訊息時的警訊

以下任何一項出現，都值得停下來用其他管道確認：

  • 製造急迫感或要求保密，例如「今天下班前一定要匯」「先不要告訴其他人」。
  • 要求變更收款帳戶、改匯到新的銀行或個人帳戶。
  • 寄件者顯示名稱正確，但完整郵件地址或網域有細微差異，例如以數字 1 取代字母 l；在手機上尤其要點開確認完整地址[6]。
  • 連結的網址與宣稱的單位不符，或用短網址、QR Code 隱藏真正的網址[6]。
  • 要求以郵件提供帳密或個資，或要求「重新登入才能查看」[6]。
  • 對方迴避或拒絕用電話、視訊等其他管道確認。

技術防線：SPF、DKIM 與 DMARC

這三項設定合起來，讓收件端能檢查「這封信是否真的由網域擁有者授權寄出」：

  • SPF：在 DNS 公告哪些伺服器可以代表你的網域寄信。
  • DKIM：寄件伺服器對郵件加上數位簽章，收件端以 DNS 上公布的公開金鑰驗證。
  • DMARC：要求 SPF 或 DKIM 驗證通過，且通過驗證的網域與信件顯示的寄件網域「對齊」；網域擁有者並可宣告驗證失敗時的建議處理方式（none 僅監控、quarantine 隔離、reject 拒收），以及接收彙整報告的信箱[7]。

DMARC 目前的標準是 2026 年 5 月發布的 RFC 9989，取代原本的 RFC 7489[7]。標準建議的導入順序是：先讓所有代表公司寄信的系統（包括電子報、CRM、雲端客服等第三方服務）都設定好 SPF 與 DKIM，接著以 p=none 搭配報告信箱觀察，把合法但未通過驗證的郵件流修正後，再考慮提高到強制政策[7]。RFC 9989 也提醒，若要設定 reject，宜先以 p=none 觀察至少一個月、再以 quarantine 觀察同樣長的時間比較結果，而且不能只依賴 SPF，必須同時有有效的 DKIM 簽章[7]。美國 CISA 等機關的聯合指引則建議，組織寄出郵件的 DMARC 最終應設為 reject，同時對收進來的郵件啟用 DMARC 檢查[1]。

DMARC 能防止別人直接冒用你的網域，但擋不住註冊相似網域的仿冒，也擋不住攻擊者真的入侵廠商信箱後寄出的信，這兩種情況要靠下一節的付款流程把關。帳號層面則建議：信箱啟用 MFA、監控內部郵件與通訊流量中的可疑活動[1]，並定期檢查異常的收件規則、自動轉寄與不尋常的登入地點[3]。

付款變更核實流程

對 BEC 最有效的防線不是技術，而是「任何付款資訊變更，都要透過第二個管道確認」[6]。可以直接寫進財務作業程序：

  1. 收款帳戶的新增或變更，一律不接受只憑電子郵件、簡訊或通訊軟體通知。
  2. 回撥確認時，使用合約、供應商主檔或過去紀錄中的電話號碼，不用來信中提供的電話或連結。
  3. 主檔變更由申請人以外的第二人覆核；大額或首次付款另加主管核准。
  4. 帳戶變更後的第一筆付款，先小額測試或延後處理，並通知原本的聯絡窗口。
  5. 定期對帳，留意應收款項未入帳等異常；FBI 也建議定期檢查帳戶是否有異常[6]。
  6. 讓財務、採購與主管秘書知道：即使「老闆」要求緊急匯款，也必須照流程走，照流程確認不會被責怪。

發現可疑或已經受騙時

  • 已經匯款：立即聯絡往來銀行請求協助攔阻款項，同時撥打 165 反詐騙諮詢專線並向警察機關報案[8]。時間越早，追回的機會越大。
  • 已經輸入帳密：立即重設密碼、撤銷所有已登入的工作階段，檢查收件規則與轉寄設定，並檢視事發後由該帳號寄出的郵件。
  • 企業資安事件：一般企業可透過 TWCERT/CC 的一般資安通報（線上表單或電子郵件 int_report@cert.org.tw）請求協處[9]；發現釣魚網站可通報至 TWNIC 的 Phishing Check 平台[10]。
  • 法遵與揭露：若公司受資通安全管理法規範或為上市櫃公司，可能另有通報或揭露義務，可參考資通安全管理法重點與重大訊息揭露；事件初期的處置順序見事件發生後的第一個 24 小時。

行動清單

  • 本週檢查公司所有網域的 SPF、DKIM 與 DMARC 紀錄；還沒有 DMARC 的，先發布 p=none 並設定報告信箱。
  • 盤點所有代表公司寄信的第三方服務，逐一完成 SPF 與 DKIM 設定，再規劃逐步提高 DMARC 政策。
  • 信箱與 SSO 全面啟用 MFA，管理者與財務人員優先改用抗釣魚 MFA。
  • 郵件系統標示外部郵件、顯示完整寄件者地址，並監控自動轉寄與異常收件規則。
  • 把「付款資訊變更須回撥既有號碼確認＋雙人覆核」寫進作業程序，並主動告知主要供應商與客戶。
  • 準備一頁應變聯絡卡：往來銀行窗口、165、TWCERT/CC 通報方式、內部資安與法務聯絡人。
  • 每季用真實案例更新教育訓練，素材可取自資安通報與資安事件，或訂閱本站的釣魚相關通報。