引用你网站内容的邮件：骗子如何利用你公开的信息

前段时间，ShieldWave 的收件箱收到一封邮件，发件公司想向我们推销一个 AI 项目。发件人说他们读过我们的网站，并从中“引用”了一句话。这句话以 “Stop motion My sites Overview Sites Reports” 开头。这些是我们首页上仪表盘示意图里的标签：关闭动画的按钮、菜单项和示例域名。写这封邮件的程序，把界面文字当成了 ShieldWave 某个人写的句子。

那只是一封无害的推销，也很容易识破。同样的手法，也就是由程序读取一家公司的网站，再据此写出邮件，骗子也在用。他们用起来效果更好，因为不需要理解任何内容。几个人的名字、一个供应商的名称，再加上公司的行文语气，就够了。

过去钓鱼邮件一眼就能看穿

多年来，最简单的建议是：留意有错别字、语法怪异、开头是笼统的“尊敬的客户”的邮件。这条建议已经过时了。语言模型能用任何语言写得很规范，几乎不要钱，还会把你网站上的细节写进邮件：你的会计的名字，你使用的开票软件，“合作客户”栏目里的某家客户。

过去，针对一家公司定制一封邮件，需要一个人花一小时。现在的成本和普通垃圾邮件一样。这就是定制化的诈骗如今也找上小企业的原因。

你的网站向骗子透露了什么

这些内容大多是你有意发布的，因为它们对客户有帮助。了解它们可能被怎样利用，是有好处的。

**人员和职务。**一个有姓名、职位和邮箱的“团队”页面，就是一张现成的地图：谁批准付款，谁做账，谁管公司。骗子就会冒充总经理给会计写信，并叫出对方的名字。

**邮箱格式。**页面上只要出现了 anna.smith@company.com，同事们的邮箱就很容易猜出来。office@ 或 invoices@ 这样的公共邮箱，透露得更少。

**供应商和合作伙伴。**客户标志、你提到的批发商、银行或会计软件。带着真实供应商的标志、却换了收款账号的假发票，是针对企业最常见的诈骗之一。

招聘启事。“需要有 X 软件使用经验”，等于告诉所有人你在用哪款软件。一封“来自 X 软件开发商”、要求你登录确认许可证的邮件，就会显得恰到好处。

**新闻动态。**一篇“我们搬到新办公室了”或“我们换了新的订单系统”的帖子，就是“由于变更，请更新我们的付款信息”现成的借口。

**网站所用的技术。**页面代码里看得到的 WordPress 和插件版本，被遗忘的备份文件，缺失的 DMARC 记录。普通访客注意不到，脚本几秒钟就能查出来。其中一种痕迹，在服务器上被遗忘的备份文件那篇文章里有讲。

团队页面和客户名单可以保留。但建议考虑用公共邮箱代替每位员工的个人邮箱，并且不要写客户用不着的细节，比如你们用的会计软件名称。

如何识别用你网站内容写成的邮件

邮件的文字本身已经不是可靠的信号了，所以要看脚本不那么容易伪造的东西。

1. **完整的发件人地址。**点开发件人的名字，把地址读到最后。骗子会注册看起来像真域名的域名：用 cornpany.com 冒充 company.com，或者 company-uk.com、company.com.invoices.net。
2. **回复地址。**一封邮件可以来自真实地址、被盗用的地址或伪造的地址，而回复却发往别处。点“回复”，看“收件人”栏里出现的是哪个地址。
3. **SPF、DKIM 和 DMARC 的结果。**在 Gmail 里：点击邮件旁边的三个点，再选“显示原始邮件”。一封自称来自你公司或某个熟悉的供应商的邮件，如果显示 FAIL，是很强的信号。这些防护如何运作，见 SPF、DKIM 和 DMARC 详解那篇文章。
4. **要求你改动某件事。**新的账号，新的发票寄送地址，要求“今天下班前”紧急付款，通过邮件里的链接登录。你网站上的细节，只是为了不让你去核实。要求本身，和以往的诈骗没有两样。
5. **差一点就对的细节。**脚本会在小地方出错：引用了一个菜单标签，写错了职位，写给一年前就离职的人。如果一封邮件读起来像是机器读过的你的网站，那它多半就是这样写出来的。

不论邮件怎么写都管用的规则

没有人能识破所有骗局。你能做的，是约定几条规则，让即使再逼真的邮件也达不到目的。

• **任何银行账户信息的变更，都要打电话确认。**打合同或之前合作中已有的号码，千万不要打要求变更的那封邮件里的号码。银行也是这样建议的。
• **金额较大的付款，需要两个人批准。**这样，一封“来自总经理”发给会计的邮件就不够用了。
• **银行、会计软件和网站后台，从书签打开。**不要从邮件里的链接进入，不管它看起来多么眼熟。
• **催得越急，越要慢下来。**真正的合作伙伴，会愿意等你一小时后回电话。
• **对不信任的邮件，也不要点“退订”。**这一下点击，会证实这个邮箱有效，而且有人在看。

可疑的邮件，可以举报给本国的网络安全机构或 CERT。在英国，转发到 report@phishing.gov.uk。举报有助于在更多人上当之前封掉假网站。

你的域名出现在别人的邮件里

这件事还有另一面：骗子可以冒充你，给你的客户写信。把 DMARC 记录设为 p=quarantine 或 p=reject，可以阻止任何人在“发件人”栏里使用你的准确域名。至于只是长得像你的域名，你这边什么也拦不住。有一件事有用：让客户知道你的银行账户信息从不通过邮件变更。你可以把这一点写在发票上、邮件签名里，或网站上付款信息的旁边。

你的域名有没有 SPF、DKIM 和 DMARC，可以用免费测试（英文）检查，无需账号。ShieldWave 的检测，也会显示你的网站从外部透露了什么：软件版本、遗留的文件和缺失的安全头。