企业邮箱案例｜账号被盗后的应急处理与后续加固

事件起因

这是一家外贸企业的真实处置过程。一名业务员的邮箱出现异常：客户反映收到了该业务员发来的「更换收款账户」邮件，但业务员本人完全不知情。

企业联系到服务商后，按应急流程处理，最终没有造成资金损失，但过程暴露了几个此前完全没有意识到的隐患。

处置过程

第一步：切断访问（当天）

管理员后台对该账号执行两项操作：强制下线、清除所有客户端绑定。然后改密。

这一步的意义是：改密但不清除绑定，盗号者仍可能通过已授权的客户端进入。强制下线能让已登录会话立即失效。

第二步：检查持久化手段（当天）

改密后检查了三处，结果发现盗号者设置了静默自动转发：所有收发邮件会自动复制一份到外部邮箱。

这是最隐蔽的手法——盗号者不急着发诈骗邮件，而是长期偷看往来内容，等到有大额交易时才出手。这次的诈骗邮件是在观察了两个月、摸清了一笔订单的付款节点后才发出的。

另外两处（别名与代理权限、第三方应用授权）检查未见异常，但流程上必须都查。

第三步：排查外发邮件（当天）

查看近期已发送邮件，确认共发出两封「更改收款账户」的诈骗邮件，收件方是两家客户。其余往来未见异常。

第四步：通知客户（当天）

由于邮箱已被盗，不能再用邮件通知。改用电话和即时通讯工具联系两家客户，说明三件事：账号被盗的事实、该时段发出的邮件内容无效、收款账户以原合同为准。

两家客户都表示尚未付款，没有造成损失。

第五步：留存证据（当天）

保存了异常登录记录、自动转发规则的设置记录、两封诈骗邮件的内容，提交内部备案。

后续加固

复盘发现的问题

1. 没有双因素认证：这是账号被盗的直接原因，密码可能是撞库或钓鱼获取的
2. 没有异常登录提醒：盗号者的异地登录没有触发任何告警，直到发了诈骗邮件才发现
3. 没有应急流程：事发时不知道第一步该做什么，耽误了一段时间
4. 没有客户端绑定管理：无法立即清除盗号者的设备授权

可复用的应急流程

1. 管理员强制下线 + 清除客户端绑定
2. 改密
3. 检查自动转发规则、别名与代理权限、第三方应用授权
4. 排查近期外发邮件，确认是否有诈骗内容已发出
5. 用非邮件渠道通知客户：账号被盗、邮件无效、收款账户不变
6. 留存证据，必要时报警
7. 加固：双因素、弱密码整改、异常登录提醒、发信记录

这份流程客户后来做成一页纸，管理员人手一份，每年演练一次。

一个关键提醒

第 3 步里的「检查自动转发规则」最容易被忽略。很多企业以为改了密码就万事大吉，结果盗号者仍在静默收取往来邮件。这次事件里，如果不是检查了这一项，后续还会有第二次诈骗。

关于威库宝

威库宝是网易企业邮箱授权服务商，服务范围覆盖深圳及珠三角，可提供上门沟通与远程交付；授权资质可通过网易官方渠道核验，本案例的应急处置与后续加固由威库宝协助完成，包含异常登录排查、安全策略配置与应急流程文档编写。企业邮箱按账号数、版本与购买年限核算，企业邮箱按「账号数 × 版本 × 购买年限」核算，具体以网易官方当期活动与专属顾问报价为准；长期购买通常有赠期活动，签约前让顾问把逐年单价和到期日写进报价单。安全能力因版本而异，详见网易企业邮箱服务说明。