Temporary Email Safety Checklist（Links, Images, Attachments）

使用臨時信箱前的基本原則

• 把臨時信箱當成隔離層：它不是你的身份核心，而是用來接觸未知服務的緩衝區。
• 重要帳號不要用臨時信箱：涉及金流、政府、長期主帳號、工作核心服務的帳戶，請使用你可控、可找回、可信任的信箱。
• 不要把「收得到信」當成「安全」：能收到驗證信只代表寄送成功，不代表內容可信、連結安全或附件無害。
• 最安全的做法是最少互動：能不點就不點、能不下載就不下載、能不開圖就不開圖。需要操作時，再用更謹慎的方式處理。

接下來的每一段都會用「檢查→判讀→操作」的方式，讓你可以快速照做，而不是只看概念。

連結安全檢查清單：點之前先看這些

第一步：先判斷這封信「為什麼要你點」

多數信件會要求你做一件事：驗證帳號、重設密碼、確認訂單、下載檔案、查看通知。你要先問自己一個問題：

• 這件事是我剛剛主動觸發的嗎？例如我剛註冊、剛點了忘記密碼、剛下單。
• 如果不是我觸發的，為什麼它突然來？尤其是「安全警告」、「異常登入」、「付款失敗」這種最容易引起焦慮的主題。

如果你沒有做任何操作卻收到「立即驗證」「立即重設」的信，先把它視為高風險，別急著點。

第二步：看清楚網域，不要只看顯示文字

釣魚連結最常用的技巧，就是用看似正常的文字包裝不正常的網址。安全檢查時，至少做到：

• 把滑鼠移到連結上（桌機）：看瀏覽器左下角或提示框顯示的真實網址。
• 長按連結（手機）：先預覽網址，再決定是否開啟。
• 只信任你認得的主網域：例如品牌官方域名，不要被一堆子網域、長路徑迷惑。

常見陷阱包括：主網域拼字相似、把字母換成看起來很像的字符、或用多層轉址讓你看不清最終落點。

第三步：注意「短網址」與「多重轉址」

短網址不一定惡意，但它會隱藏真正目的地。當信件裡出現短網址時，風險會明顯上升：

• 短網址看不到落點：你無法第一時間判斷是不是官方網站。
• 轉址鏈容易夾帶追蹤：有些連結會經過多個追蹤節點，收集你的裝置資訊或來源。
• 假冒客服或活動頁常用短網址：尤其是「限時」「最後通知」這類話術。

遇到短網址，最務實的做法是：不要直接點；改用「自己打開官方網站」並從站內找對應入口（例如登入後查看通知、訂單或帳戶安全頁）。

第四步：檢查是否在要求你輸入敏感資訊

真正的驗證信通常只需要你點一下，或輸入一組短驗證碼。釣魚頁常常會要求更多：

• 要求你輸入信用卡資訊、銀行資料、身分證號、完整電話、或一次給出多項資料。
• 要求你重新輸入密碼，甚至要你提供「原密碼」或「支付密碼」。
• 頁面風格看似官方，但細節粗糙，例如字體不一致、排版怪、語氣很急迫。

只要它要求你輸入超過「驗證碼」程度的敏感資訊，就應該停下來，改走官方網站或官方 App 內的正常流程。

第五步：用更安全的開啟方式

如果你確認需要點連結，仍建議用「降風險」的方式打開：

• 使用無痕模式：減少既有登入狀態、Cookie 被利用，也降低追蹤。
• 不要在同一台已登入主帳號的瀏覽器上點：尤其是你主信箱、主社群帳號都常駐登入的情況。
• 不要在公共 Wi-Fi 上處理敏感操作：如果一定要，用行動網路或可信 VPN。
• 能手動輸入網址就手動輸入：最安全的方式是自己開官方網站，而不是透過信件連結帶路。

快速判斷法：你越急著點，越容易被設計好的話術牽著走。真正的安全檢查，不是更快，而是多停三秒。

圖片安全檢查清單：你以為是圖片，其實是追蹤

很多人看到信件裡的圖片，直覺覺得「只是視覺而已」。但在電子郵件世界裡，圖片很常被用來做兩件事：追蹤與誘導點擊。

第一步：先把「自動載入圖片」視為高風險選項

如果你的收信介面會自動顯示遠端圖片，對隱私其實不友善。原因是：

• 追蹤像素：一張看不到的 1x1 圖片就能回傳「你已讀信、何時讀、用什麼裝置、IP 大概位置」。
• 行銷標記：圖片網址常帶追蹤參數，讓寄件方把你跟行為資料對上。
• 內容誘導：很多詐騙信會用偽裝成按鈕的圖片，引導你點下去。

更安全的做法是：平常先維持「不自動載入」，必要時才手動顯示，並且先看寄件者與主旨是否合理。

第二步：辨識「假按鈕」圖片

常見的釣魚信會放一個看起來像官方的按鈕，例如「Verify」「Confirm」「View Document」。那其實是一張圖片，點了就開到不明網站。你可以這樣降低風險：

• 不要直接點圖片按鈕，改找信件內是否有文字版連結，並先預覽網址。
• 如果只有圖片按鈕，且你又不確定是否官方，直接放棄點擊，改用官方網站自行登入查看。
• 圖片上出現過度急迫字眼（例如「立即」「最後一次」「帳戶將被停用」）要特別小心。

第三步：確認圖片來源是否可信

即使你要顯示圖片，也最好把圖片當成「外部資源」來看。若你的介面允許你查看圖片連結或來源，至少注意：

• 圖片來源是否在官方域名或可信的內容分發網域上。
• 圖片網址是否帶大量奇怪參數、亂碼或明顯追蹤字串。
• 圖片是否要求你登入或跳轉到其他頁面才能觀看。

另外，圖片顯示不出來不代表安全；有些詐騙信會故意做成半壞的樣子，引導你更急著點「重新載入」或「查看線上版本」。

第四步：處理「內嵌圖片」與「外部圖片」的差別

有些信件的圖片是內嵌在郵件內容裡，有些是外部載入。一般來說：

• 外部圖片更常用於追蹤，因為每次載入都會向外部伺服器請求。
• 內嵌圖片也不等於完全安全，仍可能是誘導點擊或偽造 UI 的手段。

不管哪一種，核心原則都是：圖片只是外觀，真正要檢查的是它背後的連結與行為。

附件安全檢查清單：下載前先做風險分級

附件是最容易造成「一次就中」的入口。你可能以為自己只是下載一份簡報、收一張發票、看一份報表，但惡意程式往往就是藏在你以為正常的檔案裡。對臨時信箱收到的附件，建議用更嚴格的標準。

第一步：先問「我真的需要這個附件嗎？」

很多時候，你並不需要附件本身。常見替代方式：

• 如果是訂單或帳務資訊，改去官方網站或 App 的帳戶頁查看。
• 如果是活動資料或說明文件，看看信件是否提供官方網站的公開頁面。
• 如果是驗證流程，通常只需要驗證碼或連結，不需要附件。

只要能不下載，就直接避開一大半風險。

第二步：以檔案類型做初步風險分級

不是所有附件都一樣危險。你可以用直覺式分級：

• 高風險：可執行檔、腳本檔、帶巨集的文件格式、或任何需要你「允許內容」「啟用編輯」「啟用巨集」的檔案。
• 中風險：壓縮檔（可能夾帶多層檔案或偽裝副檔名）、不常見格式、需要特定軟體開啟的檔案。
• 相對低風險：純文字、圖片類、或你能在安全環境中預覽的文件（仍不代表零風險）。

如果你看不懂副檔名，或檔名看起來刻意偽裝（例如「invoice.pdf.exe」），直接視為高風險。

第三步：確認附件與情境是否合理

合理性判斷其實很有效。你可以檢查：

• 你是否真的有「應該收到附件」的操作？例如你剛在某平台下載報表。
• 寄件者是否可信？寄件地址是否合理？是否跟你使用的服務一致？
• 信件語氣是否過度急迫？是否用恐嚇或限時壓力逼你立刻打開？
• 附件名稱是否模糊？例如「document」「scan」「statement」卻沒有上下文。

如果上下文不合理，就算檔案看起來是 PDF 也不要掉以輕心，因為「看起來像」往往就是詐騙設計的核心。

第四步：用隔離方式開啟附件

當你判定「一定要開」，也不要用日常工作的主力環境直接打開。建議做法包括：

• 先下載到隔離資料夾：不要跟你的重要文件放在一起，避免誤觸或同步。
• 先掃描再開：使用系統防毒掃描，或以更安全的方式在雲端或沙盒環境預覽。
• 避免啟用任何額外權限：例如文件要求你啟用編輯、啟用內容、安裝外掛，直接拒絕。
• 能用線上預覽就線上預覽：但前提是你信任該預覽環境，不要把它當成萬靈丹。

對一般使用者而言，最重要的一點是：不要為了看附件去安裝陌生軟體或授權奇怪的權限。真正可信的文件不會逼你做這些事。

第五步：警惕「附件 + 連結」的組合拳

最常見的惡意流程不是單一手段，而是混合使用：信件內有附件，附件內容又引導你點連結或登入。這種組合拳特別危險，因為它讓你一路被推著走。遇到這種情況：

• 先停下來，回到最初的問題：我是否真的需要透過這封信完成操作？
• 改走官方網站或官方 App 內流程，避免在附件提供的路徑上輸入任何帳密。
• 如果是所謂的「共享文件」「雲端檔案」，更要確認主網域與登入頁是否是官方。

釣魚信常見話術與特徵：看見就先提高警覺

很多詐騙信不是靠技術，而是靠心理。它會抓住你最容易緊張的點：帳號安全、付款異常、包裹問題、稅務通知、平台停權。常見特徵包括：

• 強迫你立刻行動：倒數、限時、最後通知、否則將停用。
• 語氣不自然：像機翻、用字怪、標點亂，或同一封信裡混用不同語言風格。
• 資訊不完整：不叫你的名字、沒有訂單明細，只有一句「請點連結查看」。
• 視覺仿冒：Logo 很像、顏色很像，但網址完全不對。
• 要求你提供過多資料：除了驗證碼外還要你輸入大量個資或付款資訊。

你越熟悉這些套路，就越不容易在「只是想快點完成」的心態下被牽著走。

把流程做對：一套更穩的臨時信箱使用方式

如果你常用臨時信箱收驗證信、下載連結、活動通知，建議建立一個固定流程，把風險降到更低：

1. 先確認需求：這次只是短期一次驗證，還是之後可能要回頭登入？
2. 先看寄件者與主旨合理性：沒有操作卻收到安全警告，先當作高風險。
3. 連結先預覽再開：看網域、看是否短網址、看是否要你輸入敏感資訊。
4. 圖片預設不自動載入：必要時才手動顯示，避免追蹤像素。
5. 附件能不開就不開：真的要開就隔離、掃描、拒絕任何額外權限。
6. 重要操作走官方入口：自己開官方網站或 App，不要被信件導向的路徑綁架。

這套流程看似多幾步，但當你遇到一次釣魚或中毒風險，就會發現它省下的是更大的時間與麻煩。

常見問題