近期發現駭客大規模濫用合法服務所提供之寄信機制（如雲端平台通知、行事曆邀請及網站文章分享等功能）發送社交工程釣魚信件。另已發現部分公務機關網站之「文章轉寄/分享」或「轉寄好友」等互動功能遭同類手法利用，成為發送詐騙訊息之管道。

攻擊者可於轉寄表單之「分享人」、「推薦原因」或「留言」等自訂欄位，植入詐騙訊息（如：催繳通知、罰款未繳）與釣魚連結，再透過網站寄信功能將信件寄送予民眾。由於此類信件係由公務機關郵件伺服器或所屬網域（.gov.tw）寄出，可通過 SPF/DKIM/DMARC等郵件驗證機制，增加收件者誤認為正式通知之風險，進而影響民眾資訊安全與政府公信力。

影響平台

無

影響等級

中

建議措施

1. 請各機關盤點所屬網站是否提供文章轉寄、分享、推薦好友或其他可由使用者自訂內容並寄送電子郵件之功能，若無實際業務需求者建議關閉或停用相關功能。

2. 限制使用者輸入內容，過濾網址與關鍵字，例如針對分享人、留言、推薦原因及郵件主旨等欄位，設定字數、格式及允許字元，並禁止輸入HTML標籤、可執行程式碼及非必要之外部網址。

3. 防止大量或自動化寄信，導入圖形驗證碼、寄送頻率限制、單一來源寄送上限及異常行為阻擋機制，避免功能遭用於批次發送釣魚信件。

4. 調整郵件呈現方式，避免將使用者輸入內容直接作為郵件主旨或官方通知文字，並於信件中明確標示該內容係由網站使用者提供，不代表機關正式通知。

5. 保留並監控寄信紀錄，記錄來源IP、寄送時間、收件地址、寄送次數及輸入內容等資訊；如發現短時間大量寄信、重複內容、異常外部連結或特定來源頻繁操作，應立即阻擋並進行調查。

參考資料

無