企业邮箱被攻陷风险：跨境企业邮件身份安全新威胁解析

一、发生了什么？

2026年9月22日，Microsoft（微软）公布了针对 EvilTokens 的联合打击行动。

EvilTokens 是一个商业化的 Phishing-as-a-Service（钓鱼即服务）平台。它利用 AI（人工智能）能力，不仅帮助攻击者实施钓鱼攻击，还能在获取企业邮箱访问权限后，进一步分析邮箱内容、识别企业内部关系，并寻找适合冒充的目标。

根据 Microsoft 公布的信息：

自2026年2月出现以来，EvilTokens 已关联超过12,000个被攻陷的邮箱。
影响范围涉及超过10,000个组织。
Microsoft 与合作伙伴采取联合行动，查封了50个相关网站，并停用了另外150个相关域名。

这次事件值得关注的地方在于：攻击者的目标不再只是获取邮箱密码，而是进一步利用被攻陷的邮箱了解企业内部业务关系。

二、EvilTokens 为什么值得关注？

传统的邮件安全认知，往往集中在：

SPF 是否正确配置；
DKIM 是否正常签名；
DMARC 是否建立认证策略；
企业域名是否存在被冒用的风险。

这些措施主要帮助企业建立和保护邮件域名身份。

但 EvilTokens 展示了另一种风险。

攻击者一旦获得真实员工的邮箱访问权限，就可能：

分析历史邮件，了解企业业务往来。
识别财务人员、管理人员和付款审批关系。
寻找报价、发票、付款及合同等敏感信息。
冒充真实员工或业务联系人，继续向客户和合作伙伴发送欺诈邮件。
利用邮箱规则和访问令牌维持对账号的访问。

这意味着，即使企业的域名认证配置正常，真实邮箱账号仍可能成为攻击目标。

三、对中国大陆跨境企业有什么影响？

对于依赖 Microsoft 365 或其他企业邮箱开展海外业务的企业，这类攻击尤其值得关注。

想象一个业务场景：

企业销售人员每天通过邮箱与海外客户沟通，财务人员通过邮件接收发票和付款信息。

如果其中一个真实邮箱账号被攻陷，攻击者可能利用真实的邮件往来信息，冒充企业员工继续与海外客户沟通。

客户看到的可能是：

熟悉的发件人地址；
真实的历史邮件上下文；
看起来正常的商务沟通；
与之前一致的业务关系。

这与简单的陌生钓鱼邮件不同。

攻击者利用的是企业已经建立的信任关系。

因此，企业需要认识到：

保护企业邮件身份，不仅要防止别人冒用你的域名，也要防止别人控制你的真实邮箱账号。

四、企业应该关注哪两个层面的邮件身份安全？

SPSCTD认为，可以将企业邮件身份安全分为两个层面：

1. Domain Trust（域名信任）

主要关注：

SPF（发件人策略框架）；
DKIM（域名密钥识别邮件）；
DMARC（基于域名的邮件认证、报告与一致性）；
DNS（域名系统）记录；
未授权发件来源；
域名身份认证状态。

核心问题：

海外邮箱系统能否正确识别和验证代表企业域名发送的邮件？

2. Account / Mailbox Trust（账号与邮箱信任）

主要关注：

MFA（多因素认证）；
OAuth（开放授权）第三方应用授权；
邮箱自动转发规则；
可疑收件箱规则；
管理员账号安全；
异常登录活动；
Session / Token（会话与访问令牌）风险。

核心问题：

企业真实的邮箱账号是否仍由企业合法人员控制？

需要特别说明：这两个层面属于不同的安全检查范围。SPF、DKIM、DMARC 配置正常，并不能证明邮箱账号没有被攻陷。

五、SPSCTD观点：邮件身份安全需要超越DNS认证

EvilTokens事件提醒我们，企业邮件身份安全不能只停留在 DNS（域名系统）记录检查。

对于跨境企业而言，邮件不仅是信息传递工具，也是企业与海外客户之间长期建立的信任渠道。

如果只检查域名认证，却忽略真实邮箱账号、第三方应用授权和访问令牌风险，就可能遗漏另一类重要的安全问题。

因此，SPSCTD认为，未来企业邮件基础设施检查可以逐步区分：

Domain Trust Review（域名信任检查）
Mailbox Identity Risk（邮箱身份风险）

其中，Mailbox Identity Risk 可以作为独立的扩展检查方向，而不是简单地将其等同于 SPF、DKIM、DMARC 检测。

对于目前主要提供域名及邮件认证检查的服务，必须明确说明账号安全不在现有检测范围内。

六、相关阅读

1. 企业邮件送达能力基础知识

如果你还不了解 SPF、DKIM、DMARC 以及企业域名邮件认证，可以阅读：

为什么海外客户收不到你的报价邮件？跨境企业邮箱送达能力完整指南

2. Microsoft 官方安全分析

Microsoft Security Blog（微软安全博客）：

Unmasking EvilTokens: Getting to the root of device code phishing

本文依据 Microsoft 公开安全资料整理，旨在帮助跨境企业理解邮件身份安全风险，不构成完整的企业网络安全审计。

七. FAQ扩展（10问）

Q1：海外客户收不到我们的报价邮件，和邮箱被盗有关系吗？ A：有可能。如果真实邮箱账号被攻陷，攻击者可能设置转发规则或收件箱规则，导致邮件被转移或拦截。建议同时检查域名认证配置和邮箱账号登录活动。

Q2：SPF、DKIM、DMARC都配置了，邮箱还会被盗吗？ A：会。这三项主要防止他人冒用你的域名发信，但不能阻止攻击者直接登录你的真实邮箱账号。域名认证和账号安全是两个不同层面。

Q3：EvilTokens是什么？对外贸企业有什么影响？ A：EvilTokens是一个利用AI的钓鱼即服务平台，已关联超1.2万个被攻陷邮箱。攻击者获取邮箱后可分析业务往来，冒充员工联系海外客户实施欺诈。

Q4：外贸企业邮箱被攻陷后，客户会看到什么异常？ A：客户可能收到来自熟悉地址、带有真实历史邮件上下文的欺诈邮件，很难凭肉眼识别。这也是此类攻击值得警惕的原因。

Q5：Microsoft 365邮箱需要额外做哪些安全检查？ A：除域名认证外，建议检查MFA是否启用、OAuth第三方应用授权、邮箱自动转发规则、异常登录记录和管理员账号安全。

Q6：什么是邮箱自动转发规则风险？ A：攻击者常设置隐藏转发规则，将客户邮件同步到外部地址，长期窃取报价、发票和合同信息，企业往往难以及时发现。

Q7：跨境企业如何判断自己的邮箱是否被攻陷？ A：可检查异常登录地点、未知转发规则、不熟悉的第三方应用授权和收件箱规则。建议由IT或专业服务进行邮箱身份风险评估。

Q8：域名信任检查和邮箱账号检查有什么区别？ A：域名信任检查关注SPF、DKIM、DMARC和DNS记录；邮箱账号检查关注MFA、OAuth授权、转发规则和登录活动。两者范围不同，不能互相替代。

Q9：外贸企业邮件送达能力检查包含账号安全吗？ A：目前多数送达能力检查主要覆盖域名及邮件认证配置，账号安全通常不在范围内。企业需明确区分，必要时单独进行邮箱身份风险评估。

Q10：如何避免海外客户因邮箱被冒用而遭受损失？ A：建议启用MFA、定期审查转发规则和第三方授权、与客户建立付款信息变更的二次确认机制，并定期检查企业邮件身份安全状态。