钓鱼邮件防不住？试试流程而非工具

邮件网关升级一次、规则调优一轮，拦截率能到九成以上。剩下的那一成，永远要落到人身上。剩下的这一成怎么处理，决定了事故是小插曲还是大事件。

一、工具拦截的天花板

钓鱼邮件的变化速度，始终快于规则更新速度：新发件域名、仿冒页面、二维码替代链接、附件内嵌宏。工具能挡住已知模式，挡不住"第一次出现"的那一封。

而人有一个工具没有的优势：能察觉"这封邮件不太对"。问题在于，多数企业只告诉员工"要小心"，却没告诉他们小心之后该做什么。

二、三道流程：核验、上报、处置

1. 核验：收到异常邮件时，三个动作判断真伪
2. 上报：一键提交给 IT，不需要写说明、不需要打电话找人
3. 处置：IT 按固定步骤处理并全员通告，形成闭环

三道流程各写半页纸即可，重点是让每个员工都知道"下一步做什么"。

三、核验：三个动作

• 看发件人完整地址，不只看显示名——显示名可以随意伪装
• 不点链接，先悬停看真实地址；要求输入密码的页面一律先怀疑
• 换渠道确认：涉及转账、改账户、发数据的要求，用电话或当面确认一次

四、上报：门槛要足够低

员工不上报，通常有三种原因：怕被说"连这个都分不出来"、不知道找谁、觉得麻烦。解决办法对应三条：

• 明确"上报可疑邮件"是受鼓励的行为，不追责误报
• 提供一个按钮或一个邮箱，一键转发即可完成上报
• IT 在半小时内反馈处理结论——没有反馈的上报，第二次就没人报了

五、处置与复盘：四步走

1. 隔离：把邮件从所有收件箱中删除，阻断链接与附件
2. 排查：查点击记录、登录日志、是否有账号异常
3. 补救：涉及账号的强制改密并开启双因素；涉及终端的做查杀与重装
4. 通告与复盘：全员通报一封"下次怎么看"，并更新拦截规则

第四步的价值常常被低估。一次真实的钓鱼事件，如果配套一次具体的通报，员工记住的概率远高于任何一次通用培训。让人印象深刻的不是道理，是上一个同事踩过的坑。