這幾天的詐騙信

spam 詐騙郵件

japhenchen 2025-12-03 16:29:18 ‧ 880 瀏覽

分享至

各位IT大大們，這幾天是不是被這種信件，讓主管轟到吃不下飯？

你先建立一個公司的 LINE 群組，暫時先不要邀請其他人加入。進群之後，請自行備註好職稱加姓名，並把群組的 QR Code傳給我

我也是，想問各位有何妙招？
我只有使用body_checks處理了

今天有變種了，用純圖片訊息（2025/12/04)
唯一可識別的是這些都是四無信件
DKIM、DMARC、SPF，ARC都是none
ARC-Authentication-Results: i=1; mx.microsoft.com 1; spf=none; dmarc=none;
dkim=none; arc=none

（剛發現的，如果有使用spamassassin的大哥，可以加入一條 SPOOFED_FREEMAIL ）

可猜測的來源，是南韓的主機52.103.74.34/16

看更多先前的討論...收起先前的討論...

尼克 iT邦大師 1 級 ‧ 2025-12-03 16:41:38 檢舉

我也有收到。

leaves00219 iT邦新手 5 級 ‧ 2025-12-03 16:47:45 檢舉

今天也有收到公司的宣導公告。

PIZZ iT邦研究生 5 級 ‧ 2025-12-03 16:58:26 檢舉

12月開始有收到

目前是在主機端設定過濾條件過濾內文&降低BCL分數&封鎖已知傳送郵件的地址

Lengley_CV_1 iT邦新手 5 級 ‧ 2025-12-03 17:47:06 檢舉

我們公司的人也有收到(-_-);
問合作的廠商也說只能讓用戶按回報為垃圾信件而已......
(我們公司用Google信箱)

Lengley_CV_1 iT邦新手 5 級 ‧ 2025-12-03 17:48:12 檢舉

關鍵是這種釣魚信件也只有純文字內容，內容也很普通，沒辦法抓到甚麼特徵來擋

spplkksyy iT邦研究生 5 級 ‧ 2025-12-03 19:31:03 檢舉

寄件人名稱是大頭但信箱不是大頭，赤裸裸的有穿衣服沒穿褲子...

japhenchen iT邦超人 1 級 ‧ 2025-12-03 19:39:31 檢舉

我收到的都是不帶附件的信件，目前都是以關鍵字過濾，但有後患，因為會誤刪正常信，也是苦惱中

ayu iT邦好手 2 級 ‧ 2025-12-04 04:08:06 檢舉

兩個特徵: From:addr 及 MAILER , 不過要是自訂的規則

PIZZ iT邦研究生 5 級 ‧ 2025-12-04 09:28:41 檢舉

更新下，今天用備份郵件確認內容，結果那個郵件內文其實是個圖片啊...

所以現在是改用針對"免費信箱的網域"(免費信箱)+"寄件人姓名"(大頭)來設定過濾條件了

ming9900 iT邦新手 2 級 ‧ 2025-12-04 10:04:36 檢舉

我這裡有碰到 2個案例，信的內容都差不多。
一封明顯是用自動翻譯做的 --> 內容是寫 "線路群組" ，而且全文是簡體字。
另一封改良了，就如原PO 是寫 "LINE 群組"，全文是正體字。

寄件者是 O365 (xxxx@outlook.com) 寄出，也有由 Gmail (xxx@gmail.com)寄出，但不確定是否是偽裝的寄件者，因為信最下方的回傳Email ，都是留 gmail.com (和寄件者的信箱都不同)

最可怕的是 "寄件者留的署名" 是老闆的名字，收件者是公司主管.
這等於是精確知道是同一間公司，而且是上下級關係

會第一時間發現，是因為第一封除了沒頭沒尾外，寫了 "線路群組"

Spam 過濾，沒發現有問題，SFP Pass＆寄件IP 也真是 O365 & Gmail 的郵件主機。
現在如果又有圖片版的，那真是不知道過濾條件要如何設定了。

japhenchen iT邦超人 1 級 ‧ 2025-12-04 10:35:36 檢舉

唯一可識別的是這些都是四無信件
DKIM、DMARC、SPF，ARC都是none
ARC-Authentication-Results: i=1; mx.microsoft.com 1; spf=none; dmarc=none;
dkim=none; arc=none

（剛發現的，如果有使用spamassassin的大哥，可以加入一條 SPOOFED_FREEMAIL ）

japhenchen iT邦超人 1 級 ‧ 2025-12-04 10:51:02 檢舉

歸納了幾封信看了一下原始碼，都是南韓outlook主機發出的

ayu iT邦好手 2 級 ‧ 2025-12-04 14:39:52 檢舉

目前收到3個都是從52.103.來的, 都是用圖檔且具備四無特徵
12/01, 52.103.13.29, jpg, mail-centralus....
12/02, 52.103.23.47, jpg, mail-westus3......
12/03, 52.103.66.54, gif, mail-japanwest....
我這邊正常的MS代管信都從40.107.來的
SPOOFED_FREEMAIL的誤判率有點高喲