我见过最离谱的伪造一次，是邮箱邮件有人用这种工具伪造了老板的邮箱，给财务发了封“紧急转账”的地址指令。钱追回来的发送时候，已经过了三天。工具那个财务总监后来跟我说，伪造她其实怀疑过邮件地址——但发件人显示确实是邮箱邮件老板的名字，后缀也一模一样。地址她不知道，发送后缀可以伪造，工具显示名可以随便填，伪造甚至SPF记录都能绕过。邮箱邮件

这类工具的地址原理没那么玄乎。SMTP协议本身不验证发件人身份，发送就像寄平信不查身份证。工具工具只需要连上一个开放的邮件服务器，或者自己搭个简单的SMTP服务，然后构造一封邮件头，把“From”字段改成任意地址。难点在于让邮件真的送达——很多服务器会检查SPF和DKIM，但总有不设防的接收方，或者配置错误的邮件网关。有些工具干脆用“同域名伪造”的技巧，比如目标公司自己的服务器没配好，就能直接以该域名的名义发信。

我见过更阴的用法。有人专门伪造离职同事的邮箱，给客户发“更新收款账号”的通知。那封邮件措辞极其自然，还带了个附件，说是新合同模板。点开附件的人，电脑里被装了远控木马。整个流程下来，跟钓鱼邮件攻击的经典套路一模一样，只不过发件人地址成了最可信的那个人。

这类工具的门槛低得吓人。GitHub上随便搜“email spoofing”就能找到现成脚本，有的甚至带图形界面。命令行里敲几行代码，就能指定发件人、收件人、标题、正文，还能伪造邮件头里的Received路径。有些高级点的工具会随机延迟发送时间，模仿人类作息，避开可疑的凌晨时段。

但别以为这玩意儿只是黑客的专利。我认识一个做市场营销的朋友，他就用类似工具给自己公司发“客户表扬信”，截图发到工作群里给老板看。还有做HR的，伪造猎头邮件来试探员工忠诚度。这些人的共同点是：根本没意识到这是违法的。刑法里“破坏计算机信息系统罪”和“诈骗罪”都等着呢，哪怕没造成损失，光是伪造邮件地址本身就可能触犯《网络安全法》。

技术上防这玩意儿不算难。企业邮箱开SPF、DKIM、DMARC三重验证，基本能挡掉90%的伪造。个人用户就得靠肉眼——看邮件头里的“mailed by”和“signed by”字段，或者直接点开发件人详情看完整地址。最土的办法也最有效：收到涉及转账、账号变更的邮件，直接打电话给发件人确认。但现实中，大部分人都懒得做这一步。

这工具最操蛋的地方在于，它攻击的是人性里“信任熟人”的惯性。你收到老板的邮件会怀疑吗？收到客户的合同会多想吗？不会。骗子赌的就是这个。哪怕技术防护做得再严，只要有人会在周一早上九点，看到一封标着“紧急”的邮件时手一抖点了链接，这工具就永远有市场。