垃圾郵件為何總是找上我？

2011年3月，駭客以兩封標題為「 2011 Recruitment Plan 」的惡意電子郵件引發了RSA公司的資料外洩事件，並在隔月利用由RSA竊得的SecureID通過身分認證，入侵武器製造商洛克希德馬丁公司。

或許大家已經習以為常自己的郵件信箱總有不請自來的莫名郵件，但在看到上面幾個重要的統計或事件，多少應該能體認出這些不請自來郵件的威脅性，細究之下這些郵件還可細分為病毒郵件、廣告郵件及各種惡意攻擊郵件，但不論如何區分，這些不請自來又只會帶來壞處的郵件，一般統稱為垃圾郵件。垃圾郵件潛藏許多風險，令人避之唯恐不及，但這些垃圾郵件究竟是如何找上我們的呢？

公開的電子郵件信箱

垃圾郵件能寄到我們的電子信箱，寄送者手上一定有我們的電子郵件位址，而最直覺獲得這個位址的方式，便是由公開的管道進行蒐集。先別急著否認自己的電子郵件信箱不會曝露在公開的管道，試試使用Google搜尋一下你的電子郵件信箱位址，或許您會有意外的發現。

許多人公開自己的電子信箱位址時，是無意識的，比方拍賣、購物留給買方、賣方供交易連絡用的電子郵件信箱；或是在各大論壇、部落格發表文章時所附上的連絡資料；也有許多情況是某些通訊錄被放在公開下載的地方，或是使用的網路服務隱私強度不彰，造成機敏資料可輕易被網路爬蟲蒐集。

電子信箱被公開的時間越久，這個電子信箱位址就越容易存在各種垃圾郵件的發送名單之中，也就越容易收到垃圾郵件。要避免繼續公開電子信箱位址最好的方式，是由公開的源頭先進行或申請移除，再透過搜尋引擎的移除服務，例如「https://www.google.com/webmasters/tools/removals」，對搜尋結果進行移除。

▲圖1 Google的搜尋內容移除服務。

目錄蒐集攻擊

另一種情況則是名單不是由公開的管道蒐集而來，而是透過與電子郵件伺服器的應答方式來進行蒐集，稱為目錄蒐集攻擊（Directory Harvest Attack，DHA）手法。利用電子郵件伺服器送信前，需要先表明自己的來源與身份，並告訴電子郵件伺服器將準備送信給哪一個電子信箱位址。接著，電子郵件伺服器會先檢查這個電子信箱位址是否存在。如果存在，就可以開始接著之後的送信程序；不存在，則回應無此收件者。

由於電子郵件伺服器會先檢查這個電子信箱位址是否存在，就造成了可以透過字典檔問答的方式，驗證出確實存在的電子信箱位址。這也是有些人剛申請好一個新的電子信箱，還沒開始使用就遭到垃圾郵件污染的原因之一。

為避免有心人以此問答方式驗證存在的電子信箱位址，可尋求電子郵件伺服器管理員，將這個應答機制關閉或模糊化。例如不論收信的電子信箱位址是否存在，一律不回答或皆回應存在。

▲圖2 台灣某免費信箱服務商仍存在DHA攻擊弱點。當收信人帳號確實存在則會回應「250 ok」；收信人帳號不存在時回應「unknown user」。

連絡人的洩露

有時候，電子郵件的位址不是由自己洩露出去的，而是由朋友不小心洩露出去的。相信許多人會在電子郵件中看到分享健康、文化、時事或感想的小品文章，稍微留意一下就可能會看見不少收信人電子郵件位址在收信人名單上，或轉寄內容的引文中。

這類的分享信如果被有心人拿到，則有效的電子郵件位址名單即輕鬆到手。遇到這種情況可建議轉送分享信的朋友，在轉寄前先幫忙將引文中的電子郵件的位址刪除，並使用密件副本送信，即可避免電子郵件的位址外洩。

▲圖3 建議分享信在轉寄前，先幫忙將引文中的電子郵件的位址刪除並使用密件副本送信，即可避免電子郵件的位址外洩。