网络钓鱼早已不止可疑链接：日历邀请、二维码和附带的邮件

一封邮件不一定要有明显的拼写错误或奇怪的链接，才值得多看一眼。它可能以日历邀请的形式出现，把目的地藏在二维码后面，或者让你打开附在第一封邮件里的另一封邮件。

Microsoft 于 7 月 23 日发布的2026 年第二季度邮件威胁报告描述了一些攻击活动：它们把嵌套的 EML 附件、日历邀请和一次 Microsoft 身份验证重定向组合在一起。实际的教训是：即使每一步单独看都很眼熟，也要从整个交互过程来判断这个请求。

日历邀请仍然是某个人发来的消息

日历项目可能显得比邮件更正式，因为它出现在你真正安排过的会议旁边。把一份意料之外的邀请当作未经核实的内容。一个看起来像发票、安全通知或订阅续费的标题，并不能说明它是谁发的。

例如，一份声称订阅今天续费的邀请，可能附上一个用来「取消」的电话号码。不要拨打邀请里给出的号码，而是通过平常使用的应用或你保存的书签打开该服务，在那里检查账户。

在合适的时候，使用邀请里的举报或垃圾邮件功能。对于一个明显是不请自来的要求，不要只是为了问它是不是真的就去回复。如果它涉及你本来就在等的会议，请通过现有的联系途径向组织者确认。

二维码改变的是途径，而不是信任的判断

扫描二维码往往会把交互从你的电脑转移到手机上。这种切换更容易让你忘记原来的发件人和请求。一个标着「安全文件」的二维码，仍然只是通往某个目的地的途径。

如果一封工作邮件让你扫描二维码登录，请改为直接打开那项工作服务。对于你本来就在等的二维码，访问之前先查看扫描器显示的目的地。不要仅仅因为页面有熟悉的品牌标识就输入凭据。

附带的邮件可能多了一层说服手段

.eml 文件是一种标准的邮件文件，适合原样转发一封邮件或保存归档。这个扩展名并不意味着里面的内容可信。附带的邮件可以像投递它的那封邮件一样，包含链接、文件和各种说法。

附件里一段伪造的对话可能暗示同事们已经批准了某笔付款或某份文件。请通过已知的地址或电话号码，向真正的同事核实这一说法。不要仅仅因为每个附件都说下一个才是那份文件，就顺着一串附件一路打开下去。

检查邮件想让你采取的行动

在登录、分享验证码、打开文件或汇款之前，先停下来想四个问题：

• 我在等这封邮件吗？把这个请求和一项真实的任务或对话对应起来。
• 我能独立核实吗？使用现有的联系方式，或直接打开该服务。
• 目的地与任务相符吗？页面设计眼熟，并不能证明它归谁所有。
• 为什么这么急？一个让你来不及核实的截止时间，值得仔细审视。

对于付款信息的变更，请通过之前已经建立的渠道核实。拨打同一封可疑邮件里给出的号码，并不算独立的确认。

如果你已经做了操作

如果你输入了工作凭据、批准了一次意料之外的登录，或打开了可疑文件，请尽快联系你所在组织的安全团队。说明发生了什么，并保留原始邮件以便他们调查。如果是个人账户，请直接访问服务商官方的账户恢复和安全页面，检查访问情况。

如果已经汇出款项，请立即通过官方渠道联系银行或支付服务商。保留邮件和交易详情。尽快报告，能让处理事件的人有更多机会采取行动。

归档能做什么，不能做什么

保存下来的原件可以帮你日后还原发件人、时间和指示内容。MailVault 把归档的邮件保存为标准 .eml 文件，让邮件随时可供查看。这是留存记录上的好处，并不能保证一封邮件是安全的。 这些文件结构说明适用于默认的 Maildir 格式。设置 → 存储还提供 JMAP 存储，将原始邮件字节与 JSON 记录一起保留，并对相同邮件去重。

对归档的邮件，也要做和在线收件箱一样的检查。本地副本保存一个恶意链接，和保存一张正当收据一样忠实。保留记录，核实请求，发现可疑之处时，使用服务商或所在组织的举报流程。

写于 2026 年 10 月 1 日。服务商的功能和可用范围可能会变化；更改设置之前，请查看文中链接的官方说明。