内容摘要：去年秋天，我一位做外贸的朋友收到一封看似来自客户的邮件，附件里是“最新报价单”。他点开，什么都没发生。直到三天后，他的邮箱开始向所有联系人发送垃圾广告，客户回信问他“是不是被盗号了”，他才意识到出了问

去年秋天，何防我一位做外贸的止电朋友收到一封看似来自客户的邮件，附件里是邮件“最新报价单”。他点开，被黑什么都没发生。客攻直到三天后，何防他的止电邮箱开始向所有联系人发送垃圾广告，客户回信问他“是邮件不是被盗号了”，他才意识到出了问题——黑客用他的被黑邮箱给客户发伪造发票，差点骗走一笔几万美金的客攻货款。

这种事每天都在发生。何防电子邮件是止电互联网上最古老的通讯工具，但它的邮件安全防护却常常停留在“密码够长就行”的层面。黑客攻击邮箱，被黑手段翻新得比你想的客攻快，可防住他们，其实不需要多高深的技术，关键是把几个基础动作做扎实。

第一道防线是密码，但大多数人把密码用错了。真正安全的密码不是“P@ssw0rd123”这种花里胡哨的组合，而是三个不相关的词拼在一起，比如“蓝鲸-台灯-秋千”。这种密码长度足够，黑客用暴力破解要跑几百年。更重要的是，别在多个网站用同一个密码。你注册某个论坛时泄露的密码，黑客会拿去试你的邮箱、网银、社交账号——这叫“撞库”，成功率比你想象的高得多。我自己的做法是：邮箱密码单独设一个，跟其他所有账号都不一样。

光有强密码还不够，必须开双重验证。现在主流的邮箱服务商都提供这项功能——登录时除了输密码，还要输入手机短信里的验证码，或者用专门的验证App生成一次性码。黑客就算拿到你的密码，没有手机也登不进去。我见过太多人嫌麻烦不肯开，结果邮箱被盗后追悔莫及。开这个功能只需要五分钟，但能挡掉九成以上的远程攻击。

钓鱼邮件是另一条惯用路径。黑客会伪装成你的银行、快递公司、甚至老板，发来一封语气紧急的邮件：“您的账户异常，请点击链接验证”或者“请立即查看这份合同”。这些链接指向的网站长得跟真的一模一样，但网址往往有一两个字母的差别。我的判断原则很简单：凡是邮件里让你点链接输密码的，一律先别点。把鼠标悬停在链接上，看底部状态栏显示的网址是否正常——如果域名不是官网主域名，直接删掉。真遇到拿不准的，用浏览器手动输入官方网址，自己导航过去查。

还有一类攻击更隐蔽，叫“中间人攻击”。黑客在你和邮件服务器之间插一脚，截获你的邮件内容。这种情况多发生在公共Wi-Fi环境下。你在咖啡馆连了不设密码的Wi-Fi，发一封带附件的邮件，黑客在旁边用抓包工具就能把内容还原出来。解决办法也简单：别在公共网络下收发敏感邮件，或者用VPN加密流量。我自己出差时，宁可开手机热点，也绝不用酒店或机场的免费Wi-Fi处理工作邮件。

最后说一个大家都忽略的点——旧设备。很多人换了新手机或新电脑，旧设备上的邮箱客户端没退出登录，就那么扔在抽屉里。黑客如果拿到那台旧设备，直接打开邮箱就能看。我建议：任何不用的设备，先退出所有邮箱账号，再做一次恢复出厂设置。这个习惯能堵住一个很蠢但很常见的漏洞。

邮件安全说到底拼的是习惯，不是技术。黑客不是无所不能的，他们专挑好下手的目标。你的密码够强、开了双重验证、不点可疑链接、不在公共网络收敏感邮件、旧设备处理干净——做到这五条，你就已经比大多数人安全了。别等出事才后悔，现在就花十分钟把设置改一改。这比买什么安全软件都管用。