伪装邮箱发邮件

我花了三个小时，伪装终于让一封看似来自老板的邮箱邮件躺进了同事的收件箱。不是发邮破解密码，不是伪装入侵服务器，只是邮箱用了SMTP协议里一个几乎没人检查的字段——发件人显示名。你可以在任何邮箱设置里把“发件人姓名”改成“张三”，发邮然后填上张三的伪装邮箱地址作为回复地址。大部分邮件服务器根本不验证这两者是邮箱否匹配。

更狠的发邮玩法是伪造整个邮件头。用Python的伪装smtplib库，十行代码就能搞定。邮箱我见过一个做安全测试的发邮朋友，给公司财务发了一封“供应商更改收款账户”的伪装邮件，字体、邮箱签名、发邮公司Logo全都能仿。他用的不是高深技术，而是先给供应商官网发了个“密码重置”请求，截获了他们的邮件模板，然后原样套用。

但真正让我后背发凉的是那次测试。我伪造了HR的邮件，给全部门发“薪资调整通知”，附件里放了个带宏的Excel。结果有37%的人点开了附件，其中一半还输入了域密码。这比例比钓鱼邮件基准测试的平均值高了近两倍。为什么？因为发件人显示的是“王丽-HR”，而王丽上周刚在全员大会上讲过薪酬改革的事。

细节决定成败。伪造邮件最关键的三个点：一是发件时间要挑对方刚午休完的下午两点，那时候人最容易放松警惕；二是正文要短，超过三行的伪造邮件基本没人看完；三是必须制造紧迫感，比如“今天下午五点前回复”，逼着人跳过思考直接行动。

当然，正规的邮件服务商早就加了SPF、DKIM这些验证。但问题在于，国内很多企业自建邮件服务器，或者用老旧的Exchange系统，这些验证要么没开，要么配置错误。我测试过一家制造业公司，他们的邮件服务器连SPF记录都没设，意味着任何人都能冒充他们的域名发邮件。

还有个更隐蔽的漏洞——Unicode同形字符攻击。把“apple.com”里的“a”换成西里尔字母的“а”，肉眼完全看不出来。配合伪造发件人，一封“苹果安全警告”就能骗过大部分非技术用户。我用这个方法测试过身边朋友，十个人里有八个会上当，包括两个做程序员的。

写这些不是教你使坏，而是想说明一个事实：邮件安全根本不是技术问题，是人性问题。系统再安全，只要有人会点链接，就永远有漏洞可钻。下次收到老板深夜发来的“紧急转账”通知，先别急着回“好的”，给老板打个电话确认一下。花三十秒，可能就避免三十万损失。