網絡釣魚愈來愈難識別：企業如何協助客戶辨識可信對象

網絡釣魚的威脅持續加劇。反網絡釣魚工作組（APWG）2025年共發現380萬宗獨立攻擊事件，足見這類欺詐手法的波及範圍甚廣。網絡安全意識月除了強調識別及上報網絡釣魚行為的重要性，企業亦需承擔關鍵責任，讓合法通訊更易驗證和識別。

現時的網絡釣魚偽裝性愈來愈強，傳統的識別特徵已難以作為可靠的判斷依據。安全培訓與意識建設固然重要，但技術防護手段和信任標識可為收件人提供額外的判斷方式，協助他們區分合法品牌通訊與仿冒攻擊。

電郵仍然是主流對外溝通渠道，是品牌與消費者建立聯繫的重要方式。透過結合身份認證機制與可見的品牌標識，企業可保障收件人安全，讓合法郵件更易識別，同時建立品牌信任.

為何網絡釣魚郵件愈來愈難與合法郵件區分？

網絡釣魚指以竊取資訊、憑證或誘導用戶執行有害操作為目的的欺詐性訊息。這類攻擊通常透過偽造或仿冒手段，讓訊息看似來自可信來源。

過往的釣魚郵件雖然具迷惑性，但仍存在數個典型識別特徵：

有經驗的用戶可識別這些詐騙信號並作出正確應對，但現時的釣魚郵件製作水平大幅提升，因此欺騙性亦更強。攻擊者會使用專業排版、個人資料、仿冒域名、偽造顯示名，或結合電郵、短訊等多渠道模仿合法品牌和聯絡人，讓內容更具說服力。AI技術亦令欺詐訊息的批量製作變得更簡單，單靠行文質素已很難將其與合法內容區分開。

傳統的釣魚風險警示特徵仍然有參考價值，但已不足以單獨用來區分危險郵件和合法郵件。

網絡安全意識月這再次說明，持續識別並主動應對網絡釣魚威脅十分必要。發件方和收件方均可採取相應措施。企業可透過技術防護手段和信任標識為用戶意識建設提供支援，協助收件人識別合法通訊、察覺可疑訊息。

辨識釣魚攻擊與真實電郵的責任不應完全由收件人承擔。品牌方與電郵服務供應商可透過部署框架與協議從源頭應對釣魚問題。多種協同發揮作用的協議，可化解電郵安全風險，並啟用可視化信任標識，具體包括：

SPF。Sender Policy Framework（發件人策略框架）是多項電郵安全防護措施依賴的核心基礎。該協議可幫助收件伺服器確認發件伺服器已獲得授權，可代表特定域名發送電郵。
DKIM。DomainKeys Identified Mail（域名密鑰識別郵件）利用公鑰密碼學為電郵添加加密簽名。收件系統使用域名的公鑰驗證該簽名。透過DKIM，收件方可驗證簽名域名，並確認經過簽名的電郵內容是否被篡改。
DMARC。Domain-based Message Authentication, Reporting, and Conformance（基於域名的訊息認證、報告與一致性）協議以SPF和DKIM為基礎，評估電郵的認證狀態以及與發件人（From）域名的匹配度。域名擁有者可發布策略，要求收件方對未通過匹配認證的電郵進行隔離或拒收。
BIMI。Brand Indicators for Message Identification（電郵品牌標識識別）電郵標準允許符合條件的品牌，在支援該標準的電郵收件箱中，在電郵旁展示已驗證的品牌標識。BIMI基於前述認證標準實現，因此只有正確執行了認證要求的域名才能展示其品牌標識。

BIMI支援品牌在電郵收件箱中展示標識，而Mark證書可提供這種第三方驗證多數電郵服務商要求展示標識前，需對企業及標識進行的第三方驗證。這為已認證的電郵增加了經獨立校驗的可視化品牌信號。

兩類Mark證書助力將品牌能見度與可視化信任的優勢落地到客戶或用戶的收件箱中。Verified Mark Certificates（VMC，已驗證標識證書）支援品牌展示受商標保護的標識，並可獲得Gmail藍色對勾標識資格。

Common Mark Certificates（CMC，通用標識證書）為無註冊商標但符合資質的企業提供了可選方案。符合要求的標識必須已公開使用至少12個月。

Secure/Multipurpose Internet Mail Extensions（安全/多用途互聯網郵件擴展）標準透過加密與數碼簽名為電郵提供安全保障。這類證書通常從證書頒發機構（CA）處購買並安裝在電郵客戶端中，利用公鑰密碼學保護電郵內容——包括附件在內。

透過S/MIME，數碼簽名可幫助電郵收件人確認發件人身份，使其確信電郵來自可信來源。此外，S/MIME可證明電郵在傳輸過程中未被篡改。啟用加密功能後，電郵內容與附件將受到保護，只有指定收件人可解密查看。

上述能力可為收件人提供額外的發件人身份與電郵完整性驗證途徑，提升釣魚攻擊成功仿冒合法簽名發件人的難度，從而強化釣魚防禦能力。

識別並舉報釣魚電郵是網絡安全意識的重要組成部分，但隨着釣魚手段持續升級，僅留意已知風險特徵已不足以應對。用戶意識需要技術防護措施加以鞏固。SPF、DKIM、DMARC等框架為電郵認證提供了基礎，可幫助企業保護自身發件域名，讓收件系統更易識別未經授權的電郵。

BIMI與Mark證書在該技術基礎之上，透過可視化標識傳遞可信度。借助BIMI與VMC（或CMC），經過驗證的品牌標識可展示在支援相關標準的電郵收件箱中。

在該體系下，發件方與收件方均需承擔重要職責。企業透過部署SPF、DKIM、DMARC與BIMI搭建安全電郵通信的基礎；若需要驗證發件人身份、數碼簽名或加密能力，可額外部署S/MIME。

收件方需仔細核查發件人域名，留意已驗證的品牌標識（適用場景下包括Gmail藍色對勾）。應避免點擊任何意料之外或可疑的連結，對待意外收到的附件也需保持同等警惕。若收到意外或涉及敏感資訊的請求，應透過其他渠道核實確認。任何發現的釣魚手段都必須及時上報。

Sectigo透過面向電郵身份與安全不同場景設計的解決方案，助力構建更強的電郵信任體系。標記證書為支援的收件箱驗證品牌標誌與logo，同時S/MIME 證書支援寄件人驗證、數碼簽署、電郵完整性校驗與加密。