BEC案件如何保留邮件标头

为什么邮件标头比邮件内容本身更重要

诈骗邮件上显示的发件人名称很容易被更改,但底层的标头携带的技术信息却很难伪造。它记录了邮件到达您之前实际经过的服务器路径。

这往往正是能揭穿域名被仿冒或被稍作改动的地方,比如发件地址里被换掉的一个字母。可以参考BEC攻击后要保留的证据,了解公司整体该保留哪些资料。

如何在常见邮件系统中找到完整标头

在Gmail中,打开邮件,点击右上角的三个点,选择”显示原始邮件”即可以文字形式查看完整标头。在Outlook中,打开邮件后,找到”查看”或”邮件选项”就能看到互联网标头。

请把它保存为文本文件或包含整个标头的截图,而不是只截一部分,因为路由信息会跨越好几行。如果公司使用其他邮件系统,IT团队通常也能找到类似的选项。

即使不懂技术,标头也能说明什么

标头列出了发件服务器的地址以及邮件经过的路径,能揭示它并非像显示名称暗示的那样来自本来的发件人。它还会精确到秒,显示邮件发送的确切日期和时间。

您不必自己解读每一行内容。保存完整的标头,把技术部分交给银行、警方或律师去解读。

把标头和案件其他资料放在一起保存

把标头和诈骗邮件本身、它模仿或替换的真实邮件(如果存在的话),以及相关的付款记录放在一起保存。单独一份标头,如果没有付款金额和时间的背景,意义有限。

可以参考如何建立交易时间线,让标头、付款记录和内部审批流程都整理在同一条清晰的时间线上。

接下来该怎么做

在向银行申诉这笔付款时提供完整的标头,并把它附在警方报案里,方便调查人员追查发件来源。请IT团队检查是否有其他邮箱也遭遇了同样的手法。

保存好这些资料后,可以参考如何为律师整理证据,把它和公司其他记录整合在一起。