如何阻止釣魚電子郵件？

沒有任何單一設定能完全阻擋釣魚電子郵件。郵件過濾器有幫助，但即使是好的系統也仍會漏掉某些訊息。有效的做法是採用多層防護。

對多數小型企業而言，這通常意味著：更好的電子郵件過濾、啟用多因素驗證（MFA，multi-factor authentication，多一步登入確認流程）、員工訓練、提供一個簡單的方法讓員工能回報可疑郵件，以及基本的裝置安全。同時也要檢查你的網域設定，讓別人更難假冒從你們公司寄出電子郵件。

如果你目前還沒有這些設置，先從基本做起。好的託管式 IT 服務供應商（MSP，managed IT services provider）可以檢視你現有的狀況，用白話說明有哪些缺口，並協助你建立合理的防護措施。如果你想找這類服務，[我們可以幫你連結到獨立的供應商](/get-matched/）。

釣魚不只是惱人的垃圾郵件。它是犯罪分子最常用的手法之一，目的是竊取密碼、騙員工匯款，或取得企業電子郵件、檔案以及客戶資訊的存取權。

對小型企業而言，假的一張發票、某個看起來像登入頁面的畫面，或一則看似是由老闆寄出的訊息，都可能造成真實且嚴重的干擾。你可能會損失時間、錯過付款、讓客戶感到混亂，或花好幾天清理帳戶與裝置。

當你的團隊很忙、需要用多種語言工作，或要處理大量發票、出貨通知、或客戶需求時，風險會更高。釣魚之所以有效，是因為它看起來「很正常」。因此，清楚的流程跟科技一樣重要。

良好的防護是分層的。你的電子郵件系統應能過濾明顯的垃圾與已知惡意連結。你的團隊應知道如何放慢腳步並確認不尋常的請求。登入應使用 MFA，也就是密碼加上第二次確認，例如來自應用程式的提示或代碼。你的裝置也要定期更新，也就是安裝安全與軟體更新。

你也需要端點防護（endpoint protection）。端點（endpoint）是用於工作的裝置，例如筆電、桌機或手機。有些供應商會建議使用 EDR（EDR，endpoint detection and response，端點偵測與回應）。用白話說，這是會監看裝置可疑行為的軟體，並在看起來不對勁時提供協助，幫你做出回應。

從使用者角度來看，好的做法應該很直覺。員工知道遇到可疑訊息要怎麼做。重要的付款或銀行變更要求，要用其他方式再確認一次。共用信箱與管理員帳號的權限要受限。你的網域電子郵件記錄要設定正確。這裡沒有任何措施能讓你變成「絕對無法被入侵」，也沒有任何誠實的供應商會這麼保證。目標是降低風險，並讓問題變得更小、更容易被控制與處理。

先從你的電子郵件帳戶開始。如果每位使用者都尚未啟用 MFA，就先把它打開。優先順序先放在電子郵件、會計、薪資，以及任何能核准付款或重設密碼的帳戶。檢視誰擁有管理員權限，並把不需要的人權限移除。

接著檢查你核准金錢與敏感資訊的流程。任何要求變更銀行資料、購買禮品卡、寄送報稅表，或分享客戶資料的請求，都應該始終用第二種方式確認，例如打電話到已知的電話號碼。不要只依賴回覆同一段電子郵件對話。

然後查看員工用來工作的裝置。確認更新有在進行、移除舊帳號，並且已安裝基本的安全軟體。如果你使用外部的 IT 公司，詢問他們對電子郵件防護、端點防護與使用者訓練做什麼。如果你沒有外部協助，了解託管式 IT 服務，或瀏覽更多白話的[小型企業 IT 答案](/answers/）。

如果你正在比較不同供應商，請問一些簡單問題，並期待對方給出清楚的答案。MSP 是託管式 IT 服務供應商，意思是可能協助監看、支援與維護企業的科技。他們應該能用不躲在術語後面的方式說明他們的做法。

詢問他們如何保護企業電子郵件、如何推行 MFA、如何處理修補（patching）、他們建議的使用者訓練是什麼，以及如果有人點了惡意連結會怎麼處理。再追問哪些包含在服務內、哪些會另外收費，以及他們如何回報與處理問題。如果他們提到 SLA，那表示 service level agreement（服務等級協議），也就是對回應時間與支援的書面期待。

你也可以問他們是否使用 RMM（remote monitoring and management，遠端監看與管理）。用白話說，這是許多供應商會用的軟體，用來遠端監看裝置狀態、部署更新、並提供系統支援。詢問他們如何使用這些工具、你能否知道他們看得到什麼，以及他們如何保護客戶端隱私。如果你想協助比較選項，[我們也能幫助企業找到獨立的託管式 IT 供應商](/get-matched/）。