企业邮箱账号被盗 / 被冒名发信，第一时间怎么处理

处置顺序不能乱

发现账号异常后，很多人的第一反应是改密码。改密没错，但不是第一步——如果不先切断访问，改密期间盗号者仍在操作。

正确顺序是：切断访问 → 改密 → 清规则 → 排查外发 → 通知客户 → 留存证据。

第一步：切断访问

管理员登录后台，对被盗账号执行两项操作：强制下线，清除所有客户端绑定。

强制下线能让已登录的会话立即失效；清除绑定能让手机端、电脑端、第三方客户端的授权失效。只改密不清除绑定，盗号者可能仍通过已授权的客户端继续进入。这就是为什么必须设管理员和备份管理员——出事时得有人能立刻操作。

第二步：改密并检查三处

改掉密码后，必须检查以下三处，这些是盗号者常用的持久化手段：

• 自动转发规则：设一条静默转发到外部邮箱，长期偷看往来内容，等有大额交易时再出手。这是最隐蔽也最常见的手法。
• 别名与代理权限：给自己加一个别名或代理授权，即使主账号被禁仍能收信。
• 第三方应用授权：通过授权过的应用绕过密码访问邮箱。

第三步：排查外发邮件

查看近期已发送邮件，重点确认有没有以下内容：

• 通知客户更改收款账户的邮件；
• 以公司名义发出的报价或合同；
• 带有外部链接或附件的群发邮件。

外贸企业尤其要查第一类。冒充业务员通知改收款账户是行业最高发的诈骗手法，单笔损失往往很大。

第四步：通知客户

如果诈骗邮件已经发出，立即用其他渠道联系客户：电话、即时通讯工具、备用邮箱。邮件本身已不可信，不能用它来通知。

通知内容要包含三件事：账号被盗的事实、该时段发出的邮件内容无效、收款账户以原合同为准。态度要直接，不要模糊表述。

第五步：留存证据与复盘

• 保存异常登录记录、外发邮件记录、规则变更记录；
• 必要时报警并提交证据；
• 复盘：账号是怎么被盗的（弱密码、钓鱼邮件、撞库、设备丢失）；
• 针对性加固：开双因素认证、强制全员改密、清理第三方授权、加强钓鱼识别。

另一种情况：别人冒用你的域名发信

这不等于账号被盗，而是有人伪造了发信地址。客户收到的邮件显示来自你的域名，但实际不是你发的。

防范手段是提前配好 SPF、DKIM、DMARC 三项发信记录，让接收方能验证真伪并按要求处理。这三项配置是事前工作，事后补只能减少后续损失，无法追回已发生的诈骗。

发现冒用后，可向接收方服务商提交投诉，并在官网或公众号发布声明，提醒客户注意甄别。

把应急流程写成一页纸

出事时没人有心情翻文档。建议把处置流程做成一页纸，包含：管理员联系方式、强制下线操作路径、检查清单、客户通知模板、报警与取证要点。管理员人手一份，每年演练一次。

服务商能帮上什么

威库宝是网易企业邮箱授权服务商，服务范围覆盖深圳及珠三角，可提供上门沟通与远程交付；授权资质可通过网易官方渠道核验，可提供安全策略配置、异常登录排查协助与应急处置流程文档。企业邮箱按账号数、版本与购买年限核算，企业邮箱按「账号数 × 版本 × 购买年限」核算，具体以网易官方当期活动与专属顾问报价为准；长期购买通常有赠期活动，签约前让顾问把逐年单价和到期日写进报价单。安全能力因版本而异，详见网易企业邮箱服务说明。