钓鱼邮件早已不是"尼日利亚王子"那种一眼假的年代了。现在的钓鱼邮件排版整洁、Logo 清晰、话术贴合业务，很多还是针对你公司做过功课的——知道你用什么系统、最近在跟哪个供应商走流程。
但它依然有破绽。这篇列出 10 个在收件箱里就能直接看出来的信号，再给一份员工自查表。只讲识别与正确处置，不提供任何构造邮件的方法。
10 个一眼能看出来的破绽
1. 发件人地址对不上显示名
最有效的一招：把发件人邮箱地址完整展开看。手机邮箱 App 默认只显示名字，这是最容易中招的地方。
| 手法 | 表现 |
|---|---|
| 显示名欺骗 | 显示"张总"，地址却是陌生的免费邮箱 |
| 域名近亲仿冒 | 把 m 换成 rn、o 换成 0 |
| 后缀变化 | .com 变成 .co、.cn、或 -inc.com |
| 增减字符 | 双写字母、加连字符 |
2. 制造时间压力
"24 小时内未处理将停用账号""今日截止""最后通知"。制造紧迫感是为了让你来不及核实——正常业务邮件很少用倒计时逼人。
3. 要求保密、绕过流程
"此事涉及机密，先不要告诉其他人""手续后面补"。正常业务不需要保密，需要保密的通常是骗局。
4. 链接文字与实际地址不符
把鼠标悬停在链接上（不要点），看浏览器状态栏显示的真实地址。如果显示的是短链、或与文字描述完全不同的域名，就是问题。
手机上看不到悬停地址时，默认不点，改用电脑打开或直接在浏览器里手动输入官网地址。
5. 附件类型异常
需要重点警惕的附件类型：
| 类型 | 说明 |
|---|---|
.exe .scr .msi | 可执行程序 |
.js .vbs .hta | 脚本文件 |
.iso .img | 光盘镜像，双击会挂载并可能自动运行 |
.docm .xlsm | 带宏的办公文档，打开会提示"启用内容" |
| 多层压缩包 | 套娃压缩，目的是绕过网关扫描 |
正规企业很少用上述类型发正常业务文件。收到就先跟对方核实。
6. 称呼很泛
"尊敬的用户""亲爱的客户"，而不是你的姓名或工号。针对个人的攻击者反而会写对名字，所以这一条只是辅助判断，不能反过来证明安全。
7. 排版与语言有瑕疵
字号不统一、Logo 模糊拉伸、明显的机翻腔、标点混用中英文。仿冒页面做得再像，细节上常露馅。
8. 索要凭据、验证码或付款信息
任何正规机构都不会通过邮件索要密码、短信验证码，也不会要求你"确认银行卡信息"。 出现这类要求，直接按诈骗处理。
9. 落款与联系方式对不上
落款是某公司，但联系方式是个人邮箱、个人手机号；或者"客服"邮箱与官网域名不同。
10. 与既有业务流程不符
这是企业环境里最可靠的一条：HR 从来都是用内部系统发工资条、供应商的账号变更从来都有纸质流程。只要某封邮件要求你走一条"从没走过"的流程，就要打问号。
员工自查表（收到可疑邮件时逐项勾）
| 检查项 | 怎么查 | 通过标准 |
|---|---|---|
| 发件人地址 | 在电脑上展开完整地址 | 域名与公司/合作方官方域名完全一致 |
| 是否催得急 | 看正文是否限时 | 没有倒计时、没有"马上""立刻" |
| 是否要求保密 | 看是否让你别告诉别人 | 没有此类要求 |
| 链接真实地址 | 悬停看状态栏（手机不点） | 地址与描述一致、域名可辨认 |
| 附件类型 | 看扩展名 | 不是可执行/脚本/镜像/带宏文档 |
| 索要内容 | 看是否要密码、验证码、账号 | 完全没有 |
| 落款与联系方式 | 对比官网 | 邮箱域名与官网一致 |
| 是否符合流程 | 对照既有流程 | 与平时一致，不需要"破例" |
| 是否要求付款/改账号 | 看是否涉及资金 | 若涉及，必须走线下核验 |
任意一项不通过，就按可疑处理。
正确的处置动作
- 不点、不填、不下载，也不要回复（回复等于确认这个邮箱是活的）；
- 不要转发给同事"帮忙看看"——转发会把风险扩散出去，还容易让他人误点；
- 上报给公司 IT 或安全负责人，由他们取样分析；
- 涉及"领导要求付款""供应商改账号"的，必须换一个渠道核验：用通讯录里原有的、历史存档的电话打过去，绝不回邮件确认；
- 如果已经点了链接或填了信息：立刻断网、修改相关账号密码（在干净设备上改）、启用多因素认证、报告 IT。
避坑提示
- 不要用邮件里提供的联系方式做核验。对方给的新电话、新邮箱，一律按不可信处理。
- 不要因为"发件人我认识"就放松。邮箱被盗后，来自熟人邮箱的钓鱼邮件最难识别，也最有效。
- 不要只看显示名。手机端尤其危险，涉及资金和账号的邮件必须在电脑上核对完整地址。
- 不要自行删除可疑邮件。交给 IT 取样，删掉就失去了溯源和全员预警的依据。
- 不要觉得"我们公司小，没人盯"。批量撒网的自动化攻击不看公司规模，只看谁会点。
小结
识别钓鱼邮件，最有价值的三个动作是：展开看发件人地址、悬停看链接真实地址、看附件扩展名。这三件事各花三秒，能挡掉绝大多数攻击。
而对企业来说，单靠员工"提高警惕"是不够的，还需要技术兜底：邮件网关过滤、SPF/DKIM/DMARC 域名验证、外部邮件加 [外部] 标识、附件类型管控，再配合每季度一次的钓鱼演练。
最后强调一条：凡涉及资金与账号变更，一律走带外核验——挂掉邮件，用存档电话打过去。这一条流程比任何技术手段都管用。