釣魚郵件特徵有哪些？10 個辨識方法與案例
釣魚郵件的常見特徵是寄件者網域不對、製造急迫感，並要求您點連結、開附件、輸入帳密或改匯款帳戶。判斷時最可靠的不是文筆，而是「寄件網域」和「對方要您做什麼」，因為 AI 已經能寫出沒有錯字的信。
下面整理 10 個辨識方法，並做成可以直接列印的檢查表，也收錄台灣企業真實遇過的案例與收到可疑郵件的處理步驟。如果想知道員工實際會不會上當，可以參考我們的 社交工程演練服務。
重點整理 – The Register 報導 Microsoft《2025 數位防禦報告》：AI 自動化釣魚郵件的點擊率為 54%，一般釣魚郵件為 12%。 – 信中的姓名、品項或金額正確，不代表信是真的；1shop 2026 年 10 月的事件就是冒用訂單資訊。 – 錯字已經不是可靠的判斷依據，寄件網域與要求的動作才是。 – 不小心點了，立刻通報比事後補救重要得多。
釣魚郵件是什麼？
釣魚郵件（phishing email）是攻擊者假冒可信的人或單位寄出的電子郵件，誘使收件人點連結、開附件或提供資料，藉此竊取帳密、植入惡意程式或騙取金錢。它是 社交工程 最常見的形式之一。
釣魚郵件大致分成三種：大量寄送的一般釣魚、針對特定對象量身打造的魚叉式釣魚，以及騙取匯款的 BEC 詐騙。信裡的連結通常會把人帶到 釣魚網站，這也是很多帳號被盜的起點。
釣魚郵件 10 個辨識特徵（可列印檢查表）
只要符合下列任一項，就先停下來查證，不必等到每一項都符合。這份清單可以直接貼在座位旁，特別是客服、財務、採購與人資人員。
| ☐ | 特徵 | 怎麼檢查 |
|---|---|---|
| ☐ | 1. 寄件網域不對 | 看 @ 後面的網域，留意 rn 假冒 m、0 假冒 o，或公司行號用免費信箱 |
| ☐ | 2. 顯示名稱和實際位址不同 | 點開寄件者，看完整地址，別只看「財務部」三個字 |
| ☐ | 3. 回覆地址被換掉 | 按回覆時，收件地址變成另一個網域 |
| ☐ | 4. 連結和文字不一致 | 游標移到連結上（手機長按）看實際網址，不要直接點 |
| ☐ | 5. 製造急迫感 | 「24 小時內帳號停用」「立即處理」，目的是讓您來不及想 |
| ☐ | 6. 要求帳密或驗證碼 | 正規單位不會用信件索取密碼或驗證碼 |
| ☐ | 7. 非預期的附件 | 特別小心壓縮檔附密碼、看似照片或文件的執行檔 |
| ☐ | 8. 要求改帳戶或匯款 | 改匯款帳號、要求保密、繞過流程，一律回撥確認 |
| ☐ | 9. 要您換管道聯絡 | 要求加 LINE、掃 QR Code 或撥信中的電話 |
| ☐ | 10. 內容對不上實際狀況 | 沒有訂閱卻收到扣款通知，或沒下單卻收到客訴 |
有一點要特別提醒：拼字錯誤曾經是很好的線索，現在不是了。下面的案例就寫得很流暢，所以這份清單刻意不把「文筆差」列入。
近年常見手法有哪些？
近年的釣魚郵件有兩個明顯趨勢：內容越來越貼近收件人的工作，以及目標從騙帳密延伸到繞過多因子驗證。
貼近工作的例子包括假客訴、假發票、假履歷與假的訂單通知，利用的是客服、財務與人資「一定要打開來看」的工作性質。假登入頁也仍然常見，例如假冒 Microsoft 365 要求重新登入。
更進階的中間人（AiTM）釣魚則會架設代理頁面，即時轉送您輸入的密碼與驗證碼並取得登入憑證，所以開了 多因子驗證 也不代表絕對安全，高權限帳號要考慮防釣魚的驗證方式。
釣魚郵件真實案例
下面兩個是台灣企業實際遇過的情況，共同點都是內容非常逼真，靠「看起來怪怪的」很難發現。
案例一：假客訴信（2021 年，中小電商）。iThome 報導，攻擊者用 Gmail 冒充消費者，以通順的正體中文提到品牌與產品，聲稱商品有瑕疵，並附上加密壓縮檔。一名客服解壓後開啟，檔案其實是惡意執行檔。員工察覺異常立即通報，公司換掉相關密碼並重灌電腦；當晚果然出現異常登入嘗試，但部分後台已設定雙重認證，才沒有被入侵。
這個案例最值得學的是通報速度。該公司營運長也強調不要責備員工，因為願意立刻回報，事情才有機會挽回。
案例二：定期購詐騙信（2026 年，電商平台 1shop）。1shop 公告指出，商家與顧客反映收到冒用訂單資料的信，聲稱訂閱了定期購、將分 12 期扣款，要求加入 LINE 客服或點連結取消。信中的姓名、品項與金額大致吻合，很難一眼識破。這類案例的判斷關鍵是第 9、10 項：要您換管道聯絡，以及您根本沒有訂閱。
AI 釣魚郵件怎麼辨識？
AI 釣魚郵件的破綻不在文字，而在要求的動作與寄件來源。AI 讓攻擊者能以當地語言大量寫出客製內容，所以舊的判斷方法要跟著更新。
依 The Register 對 Microsoft《2025 數位防禦報告》的報導，AI 自動化釣魚郵件點擊率達 54%，一般釣魚郵件為 12%。下表用示意內容比較兩者，並非真實樣本：
| 比較項目 | 傳統釣魚郵件 | AI 生成的釣魚郵件 |
|---|---|---|
| 文字 | 用語生硬、可能夾雜簡體字 | 流暢的正體中文，語氣符合職場 |
| 內容 | 「您的帳戶異常，請立即驗證」 | 「關於上週會議討論的合約修訂，請協助於今日確認附件」 |
| 對象 | 通用稱呼「親愛的用戶」 | 提到姓名、職稱、部門與近期專案 |
| 還能抓到的破綻 | 文字與寄件網域 | 寄件網域、要求的動作、流程是否正常 |
實務上要把員工訓練從「找錯字」改成「看到要求就查證」：任何要改帳戶、輸入帳密或開啟非預期檔案的信，不管寫得多好，都用原有的聯絡方式確認。主管的聲音與影像也可能被偽造，相關案例可參考 Deepfake 詐騙 的整理。
收到可疑郵件怎麼辦？
先不要動作，再用其他管道查證，最後通報 IT。不確定也沒關係，通報一封誤判的信，成本遠低於漏掉一封真的。
- 不點連結、不開附件、不回覆。
- 用通訊錄或官網上的聯絡方式查證，不用信中提供的電話或連結。
- 用郵件的回報按鈕，或轉寄給資安窗口。
- 如果涉及匯款，立刻聯絡銀行並撥打 165。
資安署《資安事件應變處理行動指引》建議的自訂目標是發現後 15 分鐘內通報內部；涉及金流時，也提到「30 分鐘黃金時間」。企業可以依此訂出自己的通報時限。
企業的技術防護有哪些？
技術可以擋掉大多數明顯的釣魚信，但不可能全部擋下，因此要同時有技術、流程與演練。實務上，下列幾項是基本配備：
郵件端設定 SPF DKIM DMARC，減少公司網域被冒用，並啟用郵件安全閘道過濾惡意連結與附件。帳號端全面啟用多因子驗證，高權限帳號優先採用防釣魚方式。流程端則要求匯款帳戶變更一律回撥確認，並提供一鍵回報按鈕。
演練是最後一塊拼圖，重點不只是點擊率，還有通報率。有多少人收到後主動回報，才能反映公司的真正反應能力。範圍與預算可以參考 社交工程演練 費用 的整理。
這份釣魚郵件清單，下週怎麼用？
把上面的檢查表印出來發給客服、財務與人資，並告訴大家回報給誰，再挑一封最近收到的真實可疑信在部門會議上拆解一次。
如果想實際衡量員工的反應並追蹤改善，可以了解我們的 釣魚郵件演練 做法，或 先請顧問看一下現況。
釣魚郵件常見問題
點了釣魚連結怎麼辦？
先中斷連線並立刻通報 IT。如果有輸入帳密，從官方管道更改密碼並登出所有裝置，並請 IT 檢查登入紀錄與郵件轉寄規則；同一組密碼用在其他網站也要一起換。如果有下載或開啟檔案，電腦先不要繼續使用，也不要隨意關機，由 IT 判斷後續處理。
怎麼檢查寄件者是不是真的？
先看 @ 後面的完整網域，再比對平常往來的地址。需要進一步確認時，可以請 IT 查看郵件標頭的 SPF、DKIM、DMARC 結果。不過驗證通過只代表信確實來自該網域，攻擊者也可能註冊相似網域或盜用真實帳號，所以重要事項仍要用其他管道回撥查證。
公司可以擋掉所有釣魚信嗎？
不可能。郵件過濾能攔下大部分已知的惡意連結與附件，但使用真實帳號寄出、沒有連結或內容高度客製的信，仍可能穿透防線。所以企業要假設總會有信送達員工信箱，並透過演練與回報機制降低損害。
參考資料
- AI makes phishing 4.5x more effective, Microsoft says – Microsoft《2025 數位防禦報告》AI 釣魚郵件點擊率。The Register · 2025 年 10 月 16 日
- 國內中小電商遭新型網釣攻擊鎖定 – 假客訴信案例與應變經過。iThome
- 【重要公告】近期「定期購／重複訂閱」詐騙信事件說明 – 定期購詐騙信案例。1shop · 2026 年 10 月 30 日
- 資安事件應變處理行動指引 – 網路釣魚情境、通報時間目標。數位發展部資通安全署 · 民國 115 年 7 月
