POP3协议默认跑在110端口上，端口漏洞这个端口从1984年就开始服役了。端口漏洞问题在于，端口漏洞它设计之初压根没考虑过加密这回事——用户名和密码全走明文。端口漏洞你在咖啡厅连个Wi-Fi收邮件，端口漏洞隔壁桌拿Wireshark抓个包，端口漏洞你的端口漏洞邮箱密码就躺在那里，跟写在明信片上寄出去没区别。端口漏洞

我前阵子帮一个朋友看他的端口漏洞小公司网络，十来台电脑，端口漏洞用的端口漏洞还是Foxmail默认配置。打开一看，端口漏洞POP3全是端口漏洞110端口，连SSL都没勾。端口漏洞我问他IT谁管的端口漏洞，他说没有IT，大家自己装的。这就很典型了。很多中小企业的邮件客户端装完就用，默认设置是什么就是什么，没人会去翻那个“高级设置”里的端口号。

110端口的麻烦不只是明文传输。它还容易被利用来做跳板。攻击者可以伪造邮件头，通过开放中继把垃圾邮件灌进来。更狠一点的，直接暴力破解——因为POP3没有登录失败锁定机制，脚本跑一晚上能试几十万次密码组合。我见过一个案例，某外贸公司的业务邮箱被攻破，攻击者潜伏了三个月，专门截取跟客户的报价邮件，然后冒充业务员给客户发假账号催款。等发现的时候，一笔三万美金的货款已经打到别人账上了。

那为什么不用995端口？995是POP3S，加了SSL/TLS加密，密码和内容都走密文。配置上其实就改一个勾选框的事。但很多人不知道，或者嫌麻烦。有些老旧的邮件系统甚至只支持110，管理员又不敢升级，怕影响业务。这种心态我理解，但风险是实打实的。

还有一种情况更隐蔽：邮件服务器同时开了110和995，用户以为自己用的是加密的，结果客户端自动协商降级到了110。这种降级攻击在配置不当的服务器上很常见。你以为安全了，其实没有。

防火墙层面能做的事有限。封掉110端口出站规则，强制走995，这是最直接的办法。但很多公司内部邮件服务器之间还在用110转发，一封全乱套。所以得先摸清楚哪些设备在依赖这个端口，别一刀切。

我自己的做法是，家里路由器直接屏蔽110出站，所有设备必须走995或IMAP的993。IMAP比POP3更适合多设备同步，但那是另一个话题了。关键是你得知道自己正在用什么端口，别让一个四十年前设计的协议继续裸奔。

检查方法很简单：打开邮件客户端账户设置，看服务器端口那一栏。如果是110，改成995，勾上SSL。保存，重启客户端。五分钟的事。但就是这五分钟，很多人永远不会花。