明明没发邮件，日志里却有记录？小心“邮件伪造”攻击！

在管理公司 Google Workspace 企业邮箱时，你是否遇到过这种诡异的情况：

在后台审计日志中，发现某个员工账号发送了一些完全不知情的邮件，但检查该账号的登录记录，却发现一切正常，没有任何异地登录或异常访问。

这并不是灵异事件，也不是谷歌系统出错了，而是一种典型的**邮件伪造（Email Spoofing）**攻击。今天我们就来拆解这种攻击的原理，并教你如何用“安全三剑客”封杀它。

一、 为什么不登录账号也能冒充我发信？

电子邮件的底层协议（SMTP）在设计之初就存在一个巨大的安全缺陷：它默认信任发件人自称的身份。

这就好比写纸质信件，虽然你是张三，但你完全可以在信封的“寄信人”一栏写上“李四”。如果收信的邮局不核实寄信人的身份，这封信就会顶着李四的名字送到收件人手里。

这种攻击的危害：

• 损毁品牌声誉： 黑客冒充你向客户发送虚假发票或诈骗信息。
• 钓鱼攻击： 冒充公司高层向员工索要敏感资料或要求转账。
• 域名降权： 伪造邮件过多会被各大服务商拉黑，导致你以后发的真实邮件直接进垃圾箱。

---

二、 终结伪造：你需要部署“安全三剑客”

要彻底解决“纯伪造”问题，不能靠改密码（因为对方根本没用你的密码），而必须在域名 DNS 层面筑起防线。

1. SPF：核实“投递员”的身份

SPF 记录会告诉全世界：只有从谷歌服务器发出的邮件，才是我们公司认可的。

• 行动： 在你的 DNS 设置中添加一条 TXT 记录： v=spf1 include:_spf.google.com ~all

2. DKIM：给邮件贴上“防伪封条”

DKIM 会给每封邮件加上数字签名。收件方会根据你域名下公开的“钥匙”来拆解签名，如果签名对不上，说明这封信是假冒的或被篡改过。

• 行动： 在 Google Admin 后台生成 DKIM 密钥，并同步更新到 DNS 记录中。

3. DMARC：终极“安检指令”

SPF 和 DKIM 只是识别真伪，而 DMARC 则是下达指令。它告诉收件服务器：“如果一封信自称是我发的，但没通过 SPF 或 DKIM 验证，请直接丢进垃圾桶或拒收！”

• 行动： 添加 DMARC 记录。
• 进阶策略： 初始可以设置 p=none（仅监控），确认正常业务不受影响后，务必升级到 p=quarantine（放入垃圾箱）或 p=reject（直接拒收）。

---

三、 管理员的紧急检查清单

如果你已经在日志里看到了伪造邮件，请立即执行以下操作：

1. 深度审计日志： 在 Google Workspace 管理后台搜索该邮件，确认“身份验证”一栏是否显示 PASS。如果显示 FAIL 且没有登录记录，则是伪造。
2. 强制开启 MFA： 虽然这次是伪造，但为了防止未来的真实撞库攻击，强烈建议所有员工开启多因素验证。
3. 定期巡检应用授权： 检查 Google Admin 中的“API 控制”，撤销那些不再使用的第三方应用权限。

结语

邮件安全不是一劳永逸的，黑客总是在寻找最薄弱的环。通过部署 SPF + DKIM + DMARC，你可以为你的域名建立一套完整的数字身份验证体系，让伪造者无处遁形。

保护企业资产，从加固域名安全开始。