电子邮件使用安全
　
随着网路的快速发展，电子邮件(e-mail)俨然已成为普遍使用的一项重要联系工具。对企业而言，员工在使用e-mail的同时，企业组织同时正承担着来自广告邮件、网路诈骗或电脑病毒等不当散布所造成的风险，不仅消耗企业内部的网路传输资源，也潜藏着各种资安威胁。
　
本文除了介绍电子邮件最常见的四项威胁外，更解析每种威胁的防范方法，让使用者能对电子邮件使用有更正确、安全的认知。
　
一般而言，来自电子邮件的威胁可分为四大项，分别是垃圾邮件、网路窃听、恶意软体和网路钓鱼。
　
威胁1.垃圾邮件
　
垃圾邮件(Spam)指的是未经受信者同意，以电子邮件形式大量而重覆寄送的广告邮件。内容包括成人广告、药品或产品广告、商业网站广告等，这些发送垃圾邮件的广告商会从网路论坛、留言板或转寄邮件等处收集e-mail。
　
据统计，全球垃圾邮件占全部邮件比例，已经从2001年的7%，上升至2005年的70%。对企业而言，这些大量寄送的垃圾邮件，可能造成邮件伺服器瘫痪、网路阻塞、浪费邮件伺服器空间等危害。垃圾邮件业者常会利用社会议题散发垃圾邮件，例如现在最热门的FIFA世界杯足球赛，根据PCWB（PC World Business）本月的垃圾邮件申诉报告中发现，许多名为「世界杯萤幕保护程式下载」、「经典足赛片段下载」与「世界杯海报」…等的垃圾邮件严重肆虐，而这些垃圾邮件都可能隐藏着电脑病毒、恶意软体或个人资料外泄等的危机 。
　
有效减少垃圾邮件方法包括︰
‧不回覆垃圾邮件︰回应垃圾邮件只会让广告商晓得您的信箱是有效的，而继续收到更多的垃圾邮件。
‧不购买垃圾邮件中的广告商品︰因为这是鼓励广告商继续不断寄发这些广告邮件。
‧不转寄串接式电子邮件︰所谓串接式电子邮件，指的是例如声称将信件转寄给15个人，就会带来幸运等的邮件，这些都是恶作剧或广告商骗取电子邮件的技俩。
‧在网站上留下资料前，记得详细阅读隐私权保障声明︰确认自己的电子邮件信箱不会被使用到其他用途。
　
威胁2.网路窃听
　
网路窃听(Sniffing)是指截取在网路上传输的讯息，如果传输的是未加密的明文资料，那么传输资料被有心人士截取后，就可以直接浏览这些讯息。而这些讯息若是个人资料、商业机密或信用卡资料等，所造成的将是严重的后果。根据美国联邦调查局FBI公布2005年电脑犯罪调查结果（2005 FBI Computer Crime Survey），去年电脑犯罪让美国企业耗费预估达到670亿美元。
　
防止网路窃听的注意要项包括︰
‧重要的机密资料应避免直接使用电子邮件传输。
‧如果需要用电子邮件传递，也应该使用金钥或其他方式将内容加密后再寄送。
　
威胁3.恶意软体
　
恶意软体〈Malware〉是以破坏或其他恶意意图而开发出来的软体，如电脑病毒、蠕虫、间谍软体或其他具破坏力的程式。
　
恶意软体可能夹带在电子邮件中，并且佯称是修补程式、工具软体等，诱使不知情者开启此恶意程式。而不知情的使用者若执行了这些恶意软体，程式就会偷偷自行安装到电脑中，尤其像蠕虫病毒，在感染之后，还会自动利用电子邮件散播给邮件通讯录的成员，造成企业更大的损害。
　
根据统计，约有八成至九成的病毒感染都是透过电子邮件，所以避免恶意软体的攻击，最重要的就是对恶意软体有正确的危安认知与意识。
　
防范电子邮件恶意软体，注意要项包括：
‧不开启来路不明的电子邮件。
‧即使由朋友所寄来的邮件，也应小心确认其内容及附件。
‧最好不要启用信件预览窗格，因为某些邮件病毒只要预览信件就能触发执行。
‧开启电子邮件附档时，应先使用防毒软体扫毒后再开启。
　
威胁4.网路钓鱼
　
网路钓鱼(Phishing)是一种新兴的网路诈骗手法，利用伪造的电子邮件与网站作为诱饵，让使用者受骗泄漏自己的个人资料，或趁机植入木马程式，窃取重要的资讯。
　
根据反网路钓鱼工作小组（Anti-Phishing Working Group）2006年4月全球网路钓鱼调查报告统计，全球网路钓鱼攻击通报数量达17,490件。网路钓鱼常会伪装成知名银行或线上服务业者，通知使用者资料过期、资料需要更新，或是因安全因素需要进行身分验证，只要使用者稍微不察，就可能掉下网路钓鱼的陷阱。
　
预防网路钓鱼，需要注意的项目包括︰
‧如果无法确定电子邮件来源，绝对不要按邮件内容中的连结。
‧若欲连结邮件中所示网站，应开启新的浏览器视窗直接输入该网站网址，而不要使用邮件中的连结。
‧收到任何以公司或网站名义要求输入帐号密码确认的邮件，应提高警觉或以电话确认真实性。
‧对于重要的交易网站应经常检查帐号，以提早发现是否有异常状况。
　
结语
　
电子邮件已成为现代人工作上最重要的沟通工具之一，了解垃圾邮件、病毒邮件和钓鱼邮件隐藏的威胁，是防范资安威胁的基本认知。
　
而对于企业而言，让员工明确了解︰
‧任意开启来路不明的电子邮件附档
‧邮件内容中的不明连结
‧在开启前没有扫描附件是否有病毒或恶意软体
都会让企业可能遭到病毒或骇客攻击。
　
因此，确保员工
1.不只是接受系统安全观念的教育
2.更了解开启看起来可疑附件的危险性
3.以及让他们知道执行这些恶意程式对企业可能造成的后果
4.并且对网路钓鱼和社交工程（请参考「中小型企业客制化资安维护系列专辑之四- 社交工程」）有正确的防范观念
　
才能降低企业资安威胁风险。