香港中小企電郵附件安全：開之前對三樣，誤開之後先停手

分類：行業情報 | 日期：2026-10-29

說明：本文為中文獨立原創深度文章，不用對話形式；文中例子一律為教學示例，並非真實個案，不含真實公司名、人名或電郵地址。本文只講「附件本身」，不以電郵域名驗證或冒充匯款劇情為主體；寄件人核對只作為開啟前檢查其中一環出現。事實聲稱附 F 編號，檔尾列出來源清單。未證實的服務範圍一律寫成「簽約前要問的問題」，絕不寫成已包含的服務；還原測試同樣只以問句出現。本文不主動列出本站價目，價目及服務範圍以簽約前書面確認為準。

一、問題不在信寫得像不像，而在附件本身會做什麼

香港中小企每日收到的信，很多都附帶檔案：供應商的報價單、客戶的訂單、送貨單、合約草稿、圖片、表格。大部分時間，這些檔案只是用來看的。但有一類附件不同：它本身可以被電腦執行、可以叫電腦再下載其他檔案、可以改設定、可以連去外面。問題的核心因此不是「封信寫得真不真」，而是「這個附件一開，電腦會用什麼方式處理它」。

副檔名決定處理方式，檔名前半部分不代表檔案本質（F01）。一個檔名前面寫著報價單、發票或圖片，不等於它就是文件或圖片。收信人如果只看檔名前半部分就直接開啟，等於在未確認檔案本質之前，已經授權電腦按最後那個副檔名去處理它。這正是附件安全要先講清楚的第一個觀念：先看檔案是什麼，再決定開不開。

對中小企而言，這個觀念特別重要。公司未必有專職資訊科技人員，每個同事都可能直接收到外來附件；老闆、文員、倉務、銷售都可能成為第一個開附件的人。一套人人用得著的檢查方法，比起只靠個別同事「憑感覺」判斷，更能減低全公司誤開的機會。香港電腦保安事故協調中心（HKCERT）亦提醒，即使認識寄件人，開附件或按連結前都要先檢查（F28）；不知名寄件人的連結或附件不應開啟，有懷疑要經官方渠道核實（F29）。

二、風險清單：先分清附件屬於哪一類

以下清單不是要同事背誦所有副檔名，而是要建立分類意識：見到不熟悉的類型，先停手，不要憑檔名前半部分猜測。

1. 可執行檔類：一開即執行程式

常見例子包括 .exe、.dll、.com、.scr（F03）。這類檔案一經啟動，可以下載更多檔案、改系統設定、偷取資料、連去攻擊者控制的伺服器。日常辦公室很少需要經電郵接收這類檔案；如果一封聲稱是報價單或圖片的信，附件卻是可執行檔，本身已經是強烈的停手理由。

2. 腳本檔類：本身是一連串可自動執行的指令

常見例子包括 .js、.jse、.bat、.cmd、.vbs、.wsf、.vbe、.au3（F04）。腳本檔可以下載檔案、安裝及啟動程式、修改安全設定。對一般文職工作而言，正常業務往來很少需要經電郵寄送腳本檔；收到這類附件，不應因為檔名寫著訂單或報表就照開。

3. 網頁檔類：附件本身可能就是釣魚頁

常見例子包括 .html、.htm、.hta、.svg（F05）。這類檔案經常偽裝成電郵、雲端服務或銀行應用的登入頁，收件人在假頁輸入的帳號資料會直接交給攻擊者；這類檔案亦可觸發惡意腳本並下載更多檔案。換句話說，網頁檔附件不只是「一頁資料」，它可以是一個互動的陷阱。

更值得留意的是 HTML 走私概念：利用 HTML 與 JavaScript，在收件人開啟 HTML 附件時由瀏覽器在本地解碼並組裝出檔案，令只檢查傳輸特徵的傳統檢查較難發現（F06）。這個概念的實務含義很直接：不要以為「檔案細、只是一頁網頁」就等於無害，也不要以為檢查工具沒有攔截就等於安全。

4. 捷徑檔類：完全隱藏真正目的地

.lnk 檔案本身不含軟件，只是指示系統開啟某檔案或執行某指令；攻擊者可以任意設定圖示與名稱，完全隱藏真正目的地，受害人一按捷徑，感染鏈即啟動（F10）。正常情況下，很少有業務理由要用電郵寄一個桌面捷徑給對方。收到 .lnk 附件，不論圖示看起來多像文件夾或文件，都應先停手。

5. 壓縮檔類：把真正檔案包在裡面

攻擊者經常將惡意檔案包入 .zip、.rar、.7z 等壓縮檔（F07）。壓縮檔本身不是惡意，但它可以隱藏真正內容，令收件人在未看清內容前就解壓。下一節會再拆解壓縮檔的兩種檢查盲點。

6. Office 巨集檔類：要人手按下開關先執行

真正可內嵌巨集的 Office 格式有特定副檔名，包括 .xlsm、.xltm、.xlsb、.docm、.pptm（F11）。如收件人本身無使用巨集的需要，對此類檔案應格外小心。現代 .docx、.xlsx 預設不支援內嵌巨集，但不代表絕對安全：.xlsx 仍可從外部來源拉取即時資料並在背景連去外部目的地；.docx 亦可包含內嵌連結或指示，令 Word 聯絡外部伺服器並下載惡意檔案（F12）。

7. PDF 類：不只是靜態文件

PDF 除了靜態文字圖片，還可以有可按連結、表單甚至腳本（F16）。只有一個按鈕或模糊預覽、要求收件人登入的 PDF，本身就值得懷疑；此類 PDF 可能內嵌 JavaScript、內嵌可執行檔，或連去盜取帳號的頁面（F15）。另外，PDF 閱讀軟件本身的漏洞亦是風險，須保持軟件更新；有研究指出攻擊者曾利用相關漏洞，亦建議在閱讀軟件關閉 JavaScript 功能，而 HKCERT 亦建議定期更新作業系統與軟件（F17）。

8. 連結式附件與 QR 碼類：目的地未看清先要行動

附件內的連結、按鈕與 QR 碼有一個共同點：收件人要在未完全看清目的地之前先行動。QR 碼的危險在於目的地人眼看不到：受害人掃描後會去到盜取帳號的頁面、下載惡意軟件的頁面或假登入頁；與一般超連結不同，人無法在掃描前讀出 QR 碼目的地並評估（F18）。QR 碼攻擊多數轉移到手機，脫離公司電腦的防護：有研究指出，QR 碼釣魚經常利用藏在電郵或附件文件內的 QR 碼，繞過惡意軟件偵測與電郵過濾；而掃描多數用個人手機進行，手機通常不在公司端點防護與網頁過濾的覆蓋之下（F19）。

總結風險清單的判斷原則：附件風險不是單一檔案類型問題，而是「可執行內容」問題。程式、腳本、網頁檔、捷徑、巨集文件、PDF 內嵌內容、壓縮檔內檔案、連結與 QR 碼，全部都可能成為執行點或跳轉點。看見不熟悉的類型，第一反應不應是「開來看看是什麼」，而是「先核對，再決定」。

三、偽裝手法拆解：檔名、圖示與內容三者可以各自說謊

雙副檔名：只看前面就會中計

雙副檔名陷阱利用系統預設隱藏副檔名。例子包括 invoice.docx.exe、report.pdf.exe、photo.jpg.exe：由於 Windows 預設隱藏已知檔案類型的副檔名，收件人只看到前面部分，以為是文件或圖片，一開即執行惡意程式（F02）。實務動作只有一個：看完整檔名，看最後一個副檔名才是真正類型。前面寫著 .docx、.pdf 或 .jpg 都不算數，最後一個才是答案。

圖示與副檔名不夾本身就是警號。有研究指出，可執行檔偽裝成媒體檔案時，常見警號是檔案圖示與副檔名不符；捷徑檔的檔案類型欄雖然會顯示為捷徑，但甚少人會留意此細節（F31）。換句話說，圖示可以扮成文件、圖片或文件夾，副檔名才是較難偽裝的線索；兩者不夾，就要停。

壓縮檔：包住真正檔案，檢查未必看得到

壓縮檔的檢查盲點有三層。第一層是隱藏：惡意檔案包在壓縮檔內，收件人解壓前看不到真正內容（F07）。第二層是加密：信內附密碼的加密壓縮檔會令自動掃描無法檢查內容；有研究指出，此類壓縮檔經常設密碼或加密，目的就是阻礙內容掃描；電郵安全檢查亦無法在無密碼情況下打開受密碼保護的壓縮檔檢查內部檔案（F08）。密碼寫在同一封信內，等於將鎖匙同鎖一齊寄出：收件人自己解壓，反而繞過了檢查。

第三層是刻意損壞：攻擊者有時會製作結構損壞的壓縮檔，基本安全檢查可能因檔案損壞而跳過掃描，但解壓軟件仍可自動修復並解開內容（F09）。實務含義是：不要以為「解壓不到、有錯誤」就等於安全；解壓失敗、檔名古怪、內容與信內描述不符，全部都是停手理由，不是繼續嘗試的理由。

對日常工作的判斷可以寫得很簡單：正常供應商甚少用「信內附密碼的加密壓縮檔」寄日常報價單或送貨單。如果確實需要用加密壓縮檔，密碼應該經另一條已確認的渠道核實，不要只信同一封信。核實不到，就不要解壓，先按內部流程轉交負責人。

檔名與內容不符：不符本身就是停手理由

信話是報價單，附件解開後是腳本或捷徑；信話是圖片，附件其實是可執行檔；信話是合約，附件卻要求按「啟用內容」先看到內容——這類不符本身就是停手的理由，不需要等防毒軟件報警先停。防護工具沒有反應，不等於檔案安全；人的核對仍然是最後一道關。

四、Office 巨集與「啟用內容」：惡意巨集的執行開關

Office 巨集的危險不在文件打開那一刻，而在收件人按下開關那一刻。「啟用內容」是惡意巨集的執行開關：Excel 試算表在使用者按下「啟用內容」後，巨集才獲得執行機會，之後可以下載檔案、啟動程式、收集系統資料及更改設定；Microsoft 官方文件亦說明，開啟含巨集檔案時會在訊息列出現安全警告，按「啟用內容」才會啟用巨集（F13）。

因此，一句實務金句可以直接寫入公司指引：「要你按掣先看到完整內容的文件，本身就值得懷疑。」文件內容如果真的完整、真的來自可信寄件人，根本不需要靠收件人按下一個安全警告才能閱讀。信內或文件內催促收件人「按啟用內容先看到報價」「不按就看不到表格」，更應視為警號，而不是照做的指示。

Office 巨集的預設安全設定是停用並提示，受保護檢視以唯讀方式開啟外部文件。Microsoft 官方文件列出「停用所有巨集並通知」為預設設定，讓使用者逐個檔案決定；相關實務指引亦指出，受保護檢視會以唯讀模式開啟來自外部的文件，減少惡意巨集執行機會（F14）。這個設定的實務含義是：預設停用不是阻礙工作，而是給收件人一個停下來判斷的機會。不要為了貪方便而把預設改成一律啟用；如工作上確實需要用巨集，只應先經另一渠道向寄件人確認，再由負責人按公司既定做法處理，不要即場自行放行。

這裡要分清兩種情況。第一種是「公司日常根本不用巨集」：那麼任何要求啟用巨集的外來文件，都可以直接視為可疑，先轉交負責人。第二種是「個別工序確實需要巨集」：那麼例外安排應該事先寫好，由誰批准、哪類寄件人可例外、例外有效期多久，全部都要有書面做法，而不是每次由收件人臨場決定。例外清單的管理、預設停用設定、受保護檢視設定是否屬於某項服務範圍，屬於簽約前要問的問題，見第十二節。

五、PDF 陷阱三層：連結、內嵌內容、閱讀軟件

PDF 在辦公室最容易被誤認為「只係睇得」。實際上，PDF 陷阱可以分三層檢查。

第一層是連結與表單。內容只有一個按鈕或模糊預覽、要求收件人登入的 PDF，本身就值得懷疑；此類 PDF 可能內嵌 JavaScript、內嵌可執行檔，或連去盜取帳號的頁面（F15）。實務動作是把 PDF 內的按鈕當成連結來檢查：按下去會去哪裡？聲稱的機構與目的地是否一致？有懷疑就不要按，先核實。

第二層是內嵌腳本與內嵌檔案。PDF 除了靜態文字圖片，還可以有可按連結、表單甚至腳本；有公開知識庫記錄，個別 PDF 內的內嵌檔案會觸發可執行檔內容過濾規則，原因正是內嵌檔案的副檔名本身屬於可執行內容（F16）。這一點提醒收信人：PDF 附件不等於「一個檔案」，它裡面可能還包著另一個檔案；掃描工具對 PDF 內嵌內容的處理，未必等於對直接附件的處理。

第三層是閱讀軟件本身。攻擊者曾利用閱讀軟件漏洞遠端執行惡意 PDF；保持軟件更新、按需要關閉不必要的腳本功能，是減低已知漏洞被利用機會的基本做法（F17）。公司層面，這一點可以寫入日常維護清單：作業系統與常用軟件要定期更新，不要長期用舊版閱讀軟件開外來 PDF。

三層合起來只有一個原則：PDF 不等於安全標籤。入面的連結、按鈕、內嵌內容，都要當成需要檢查的對象，不要因為它在「文件入面」就放鬆。

六、連結式附件與 QR 碼：不要經跳轉去核實

連結式附件的危險不在附件本身的大小，而在跳轉之後。PDF 內的連結、按鈕、QR 碼，全部都要當成連結來檢查。QR 碼的情況更被動：人眼看不到目的地，掃描前無法評估（F18）；而且掃描多數用手機，手機未必有公司電腦同一套防護（F19）。

實務做法可以定得很硬：不要掃描來歷不明信件或附件內的 QR 碼；如確實需要處理相關事項，先經官方網站或官方應用程式直接進入核實，不要經 QR 碼跳轉；掃描後出現的網址與聲稱的機構不符，就要即停。更重要的是，不要用 QR 碼本身去核實 QR 碼：掃描後去到的頁面寫著機構名稱，不等於那就是真正的機構頁面。

對中小企而言，QR 碼還帶來一個流程問題：手機出事，算不算公司事故？員工用私人手機掃描附件內 QR 碼出事，支援範圍與處理流程是否與公司電腦相同？這些問題沒有統一答案，必須在簽約前問清楚，見第十二節。

七、開啟前檢查清單：寄件人、內容、副檔名三方核對

以下清單是全文最實用的部分。建議公司直接用作內部指引：三方有任何一方對不上，處理方法不是「開來看看先」，而是停手、保留原信、按第十節轉交負責人。

寄件人核對

• 寄件人地址與聲稱的機構是否一致？免費郵箱扮公司名、串法差一個字母、域名古怪，全部都是停手理由。
• 是否你預期會收到這封信的人？即使認識寄件人，開附件前都要先檢查（F28）。
• 不要用同一封可疑信內的電話或連結去核實。核實要用另一條你本身已知的渠道，例如平時合作開用的聯絡方式；直接覆同一封可疑信問「是不是你寄的」並不穩妥，因為覆信可能仍然去到攻擊者手上。
• 本環只作檢查一環，不展開域名設定或冒充匯款劇情；域名驗證與社交工程劇情屬於其他主題，不在本篇主體討論。

內容核對

• 信內講的附件內容，例如邊張單、邊個項目、邊段時間，與你手頭工作是否對得上？
• 有無預期？無端端寄來的「最新報價」「急件」「重新寄送」，而你完全無預期，就要先核實，不要憑好奇心開。
• 信內描述與附件實際內容是否一致？信話是報價單，附件卻是腳本、捷徑或可執行檔，本身就是不符。
• 信內有沒有催促你繞過檢查的指示？例如叫你即刻按「啟用內容」、即刻解壓加密檔、即刻掃 QR 碼——催促本身就是警號。

副檔名核對

• 看完整檔名，看最後一個副檔名才是真正類型（F02）。
• 圖示與副檔名是否一致？不夾就要停（F31）。
• 預期是文件但收到腳本或捷徑、預期是圖片但收到可執行檔，全部即停。
• 收到 .xlsm、.docm、.pptm 等可內嵌巨集格式，而你本身無用巨集的需要，要格外小心（F11）；收到現代 .docx、.xlsx 也不要自動視為絕對安全，因為仍可有外部連結或外部資料連接（F12）。
• 收到壓縮檔時，先問：裡面是什麼？信內附密碼的加密壓縮檔，是否已經經獨立渠道核實？核實不到就不要解壓（F08）。
• 收到 PDF 時，先問：裡面是否只有一個按鈕或模糊預覽？是否要求登入？有懷疑就不要按（F15）。
• 收到網頁檔、捷徑檔時，先問：日常業務有無理由經電郵收到這類檔案？無理由就不要開（F05、F10）。

三方核對的口訣可以記成一句：「寄件人、內容、副檔名，三樣對不齊，就不要開。」這句話的好處是人人講得出、回到辦公室即刻用得著，而且不需要任何技術背景。

八、隔離檢疫與沙箱：通用概念，不是萬能保證

三方核對是人的檢查；隔離檢疫與沙箱是系統層面的通用概念。兩者要分開理解：前者是每個同事都可以做的事，後者是電郵安全做法其中一種設計思路，不是裝了就不用檢查。

沙箱概念是在隔離受控環境先執行、先觀察、再判決。沙箱是將不受信任的程式碼、檔案或應用程式放在受控的隔離環境執行與分析，不會危及主機系統或網絡；流程包括觸發、引爆、監察行為、行為分析，最後判決放行、攔截或檢疫（F20）。用日常比喻講，沙箱就像一個隔離檢疫房：可疑檔案先在一個與真實電腦及網絡隔開的受控環境入面打開，觀察它會做什麼，例如改檔案、連去哪裡、開新程式，有問題就攔截，無問題先放行。

電郵沙箱專門用來在投遞前引爆附件。與電郵閘道整合的沙箱會在附件到達收件匣之前引爆附件與內嵌網址；如樣本在引爆期間出現惡意行為，閘道會將訊息檢疫並將行為報告交給負責團隊分流（F21）。檢疫概念則是：懷疑訊息先扣起，給負責人檢視或放行。公開說明指出，管理員可選擇將符合檔案類型規則的訊息檢疫，讓安全團隊或檢疫管理員檢視、下載分析、通知收件人，或在仔細檢查後放行（F22）。

個別電郵平台的公開做法亦可作概念說明，但必須講明是該平台的做法，不得推論為所有平台或本站的做法。有公開說明指出，個別電郵平台的安全沙箱會在虛擬環境掃描附件，涵蓋直接附加的檔案與壓縮檔內的檔案，支援類型包括可執行檔、Office 文件與 PDF；被判定可疑或惡意的訊息會自動送去垃圾郵件匣，管理員亦可選擇改為檢疫；該說明亦註明，沙箱掃描可能令郵件投遞稍有延遲，且預設設定為關閉（F23）。同樣，部分電郵服務本身會封鎖危險副檔名，壓縮檔內的被封鎖檔案亦可能被攔截；有整理指出，個別平台早已封鎖 .exe、.bat 等類型，其後亦加入封鎖 .js，即使將檔案放入未加密壓縮檔，亦未必能避過偵測（F32）。但此條只說明該平台的公開封鎖做法，不得推論為所有電郵平台或本站的做法。

沙箱與檢疫的限制必須同時講明，否則會令人誤以為有系統把關就可以亂開附件。加密壓縮檔、拆散的 QR 碼、要人手按「啟用內容」先觸發的檔案，都可能增加檢查難度；觀眾自己的三方核對仍然是最後一道關。系統檢查不到，不等於檔案安全；系統放行，也不等於收件人不用核對。

九、誤開後步驟：次序不能調亂

誤開之後最值錢的動作是「快點停」。以下次序按公開指引整理，不得調亂「斷網」與「轉寄」的次序：先斷網、先停手，不要先轉寄給同事問意見。

1. 斷網：即刻斷開網絡，例如關 Wi-Fi、開飛行模式或拔網絡線。香港政府資訊安全網站的個人事故處理指引指出，遇到事故時要保持冷靜，斷開電腦與互聯網的連接並停止在該機器上繼續工作，並建議用電話等其他渠道求助，不要用互聯網求助以免再次散播惡意軟件（F24）。勒索軟件事故的即時應對亦包括斷開受感染裝置與網絡並全面掃描、切斷與受感染電腦共用網絡但未完全被加密的電腦的電源連接並隔離、仔細檢查備份資料是否離線及安全（F25）。
2. 停手：停止在該電腦繼續工作，不要再開其他檔案，不要輸入帳號密碼，不要再轉寄該封信。
3. 不要再轉寄：不要將懷疑附件轉寄給全公司同事「問下大家有無收到」，也不要轉寄給自己私人郵箱「返屋企再睇」。轉寄本身就是擴散。
4. 保留原信：保留原封信同附件原貌，不要刪除、不要改檔名、不要自行清理，留給負責人判斷。事故記錄與保留證據是後續判斷的基礎：公開指引要求記低事件經過，包括事故日期時間、實際發生的事、相關人士等，並盡可能收集事故記錄；勒索軟件事故亦要求記低事故詳情，包括日期時間、受影響檔案或裝置、感染來源，以便撰寫事故報告及尋求專業協助（F26）。
5. 通知內部負責人：用另一渠道，例如電話或當面，通知公司內部負責同事或資訊科技負責人，講明邊個時間開過、開過邊個檔案、之後做過什麼。公開指引亦指出，懷疑事故要即時通知資訊科技管理人員，並在涉及金錢損失時通知銀行（F27）。這裡只作提醒，不得代替專業意見；是否涉及金錢損失、是否需要通知銀行，要由負責人按實際情況判斷。

誤開後的記錄要點可以先寫好一張表格，放在公司共用位置：發現時間、檔名、寄件人、主旨、收到時間、自己有無開過、有無按過「啟用內容」、有無掃過 QR 碼、斷網後做過什麼。記錄本身不要包含密碼；轉交訊息內不要寫密碼。記錄愈完整，負責人愈容易判斷影響範圍；記錄缺失，負責人只能靠估計。

十、內部轉交清單：懷疑附件點樣交給負責人

誤開後步驟講的是個人即時動作；本節講的是公司流程。懷疑附件的轉交流程，應該在出事之前已經寫好，而不是出事當日才臨時想。

發現同事要做的事

• 保留原信，不要刪除、不要改檔名、不要自行解壓加密檔再派。
• 不要自行改設定放行巨集，不要叫全公司一齊開來「對下係咪假」，不要在群組貼出附件原文叫大家睇。
• 用內部指定的渠道通知負責人，不要將懷疑附件廣泛轉寄。
• 轉交時講明以下資料：寄件人、主旨、收到時間、檔名、有無開過、有無按過「啟用內容」、有無掃過 QR 碼、自己之後做過什麼。

負責人要確認的事

• 收到的是原封信件還是轉寄後的副本？原封信件保留了較完整的判斷資料，轉寄可能改變內容或遺失資訊。
• 影響範圍涉及幾多部電腦、幾個帳號？有無其他同事收到同一封信？
• 備份資料是否離線及安全？這一點在勒索軟件事故應對中亦有提及（F25），但備份還原測試的具體範圍、頻率與執行方式屬於簽約前要問的問題，見第十二節。
• 是否需要通知銀行或相關方面？按公開指引，涉及金錢損失時要即時通知銀行（F27），實際判斷由負責人負責。

小公司無專職資訊科技人員的寫法

流程仍然適用，只是負責人可能是老闆或外間協助的資訊科技人員。公司要先寫明：負責人是誰、後備負責人是誰、聯絡渠道是什麼、非辦公時間收到懷疑附件應如何處理。沒有寫明的流程，出事時等於沒有流程。至於外間協助的具體支援範圍、接收渠道、負責人安排，屬於簽約前要問的問題，不得在本文假設為已提供的服務。

十一、公司日常做法：把檢查變成習慣，不是靠記性

HKCERT 指出，中小企層面的通用做法包括分類資料、定程序、部署防護、監察異常、做員工培訓：中小企應按敏感度分類資料並定出處理程序、定出公司電腦使用程序與指引、部署具備防惡意軟件功能的保安控制系統、主動監察違規或異常活動、並為員工提供保安意識培訓（F30）。套用到附件安全，可以寫成四條日常做法：

• 程序先行：三方核對清單、誤開後步驟、內部轉交清單，全部寫成一頁紙，貼在辦公室共用位置，新同事入職就要講一次。
• 設定不要貪方便：Office 巨集預設停用並提示、受保護檢視唯讀開啟外部文件，這些預設是保護，不是阻礙（F14）；閱讀軟件與作業系統要定期更新（F17）。
• 培訓要包括非資訊科技職位同事：開附件最多的人，往往不是資訊科技人員，而是文員、銷售、倉務。培訓教材要講日常例子，例如報價單、發票、送貨單，而不是只講技術名詞。
• 監察與覆檢：定期檢視有無同事收到同一類可疑附件、有無人繞過檢查、有無設定被擅自改動。覆檢的目的不是追究個人，而是找出流程哪裡寫得不夠清楚。

這四條做法的共同點是：不依賴個別同事的警覺性，而是用程序、設定與培訓把檢查變成習慣。附件安全的最後一道關始終是人，但好的流程可以令「停一停、對三樣」變成自然動作，而不是每次都要靠意志力。

十二、簽約前要問的問題

以下全部為未證實項目，一律以問句出現，並註明「簽約前要問」。在取得書面確認之前，不得將以下任何一項理解為已包含的服務。

• 簽約前要問：本站 live 價目有無列明附件檢疫、沙箱、巨集管控等服務？（U01）
• 簽約前要問：誤開可疑附件後的支援範圍包括什麼？是否包括遠端檢查、現場檢查、受影響電腦隔離指引、帳號處理指引？支援範圍的邊界在哪裡，哪些情況需要另外安排或另外收費？（U02）
• 簽約前要問：還原測試範圍包括什麼？備份還原測試是否涵蓋附件事故後的資料還原情境？測試頻率如何？測試由誰執行？測試結果以什麼形式交給客戶？（U03）
• 簽約前要問：懷疑附件的內部轉交流程由誰接收？客戶應經什麼渠道提交原封信件？接收人是固定負責人還是輪值安排？提交時需要提供哪些資料，例如寄件人、主旨、收到時間、檔名、有無開過、有無按過「啟用內容」、有無掃過 QR 碼？（U04）
• 簽約前要問：巨集管控是否屬於服務範圍？是否包括 Office 巨集預設停用設定、受保護檢視設定、例外清單管理？如客戶業務確實需要用巨集，例外申請流程是怎樣，誰有權批准？（U05）
• 簽約前要問：加密壓縮檔的處理政策是怎樣？信內附密碼的壓縮檔是否一律先扣起？密碼應經什麼獨立渠道核實？核實不到時是否直接刪除或退回寄件人？（U06）
• 簽約前要問：檢疫信件的放行流程是怎樣？被扣起的信件由誰檢視？放行前要做哪些檢查？客戶會否收到通知？放行或拒絕的決定會否留記錄？（U07）
• 簽約前要問：附件內的連結與 QR 碼是否在檢查範圍內？PDF 內的連結、按鈕、QR 碼目的地是否會被解碼檢查，還是只檢查附件檔案本身？手機掃描 QR 碼後的事故是否在支援範圍內？（U08）
• 簽約前要問：員工附件安全培訓是否包括在內？是否提供三方核對（寄件人、內容、副檔名）的培訓教材？是否提供懷疑附件轉交流程範本？培訓對象是否包括非資訊科技職位的同事？（U09）
• 簽約前要問：事故記錄範本是否由服務提供？是否提供誤開後的記錄表格，例如發現時間、檔名、寄件人、已做步驟？還是由客戶自行記錄後再交給負責人？（U10）
• 簽約前要問：服務是否涵蓋個人裝置或手機？員工用私人手機掃描附件內 QR 碼出事，是否在支援範圍內？公司電腦與私人裝置的處理流程有無分別？（U11）
• 簽約前要問：附件安全相關的設定變更由誰負責及如何確認？例如電郵平台封鎖副檔名清單、沙箱開關、檢疫政策等設定，如由服務方調整，調整後會否向客戶提供書面確認？如由客戶自行管理，服務方是否只提供建議？（U12）

問這些問題的目的不是為難服務方，而是把「以為有包」變成「書面確認有包」。附件安全的服務範圍、支援邊界、設定責任，全部都應該在簽約前白紙黑字寫清楚，而不是在出事之後才逐項爭論。

結語：記得一句話，已經做到大半

附件安全不需要同事成為技術專家，只需要一個人人做得到的動作：開之前停一停，對三樣——寄件人、內容、副檔名。三樣對不齊，就不要開；開錯了就斷網、留信、找負責人。系統檢查、沙箱、檢疫都是輔助，人的核對仍然是最後一道關。公司把這句話寫入指引、講給每個同事聽、貼在辦公室當眼處，已經比起只靠個別同事警覺，走前了一大步。

來源清單（查核日期：2026-10-28）

• F01、F02、F03、F04、F05、F07、F08、F09、F10、F11、F12、F13、F16、F17、F31：Kaspersky 官方博客〈Dangerous email attachments: the files you should never open〉，https://www.kaspersky.com/blog/dangerous-extensions-in-email/56238/
• F06：Kaspersky 資源中心〈Malicious HTML Attachments | HTML Smuggling〉，https://www.kaspersky.com/resource-center/threats/malicious-html-attachments
• F07：Cytranet〈Malicious Email Attachments: Your Inbox Danger〉，https://cytranet.com/the-hidden-danger-in-your-inbox-malicious-email-attachments/
• F08：Hornetsecurity〈Expert Tips to Protect Yourself from Malicious Email Attachments〉，https://www.hornetsecurity.com/en/blog/malicious-email-attachments/
• F13、F14：Microsoft Support〈Enable or disable macros in Microsoft 365 files〉，https://support.microsoft.com/en-us/office/12b036fd-d140-4e74-b45e-16fed1a7e5c6?ui=en-us&rs=en-us&ad=us&fromar=1
• F14：IT Law Co〈Macro malware in Word and Excel: A practical guide for contract reviewers〉，https://itlawco.com/macro-malware-in-word-and-excel-a-practical-guide-for-contract-reviewers/
• F15、F31：Uprite〈Phishing Attacks | How to Detect Malicious Email Attachments〉，https://uprite.com/phishing-attacks/
• F16：Broadcom Knowledge〈PDF attachment files trigger the Executable Files rule in Messaging Gateway〉，https://knowledge.broadcom.com/external/article/175423
• F17、F28、F29、F30：HKCERT〈Malware Defense Guideline〉，https://www.hkcert.org/security-guideline/malware-defense-guideline
• F29：HKCERT〈Beware of Phishing Campaigns During Festive Season〉，https://www.hkcert.org/blog/beware-of-phishing-campaigns-during-festive-season
• F27：HKCERT〈Self Help Guide for Security Incidents〉，https://www.hkcert.org/resources/faq/self-help-guide-for-security-incidents
• F18：ReversingLabs〈What Is Quishing? QR Code Phishing Explained〉，https://www.reversinglabs.com/glossary/quishing-qr-code-phishing
• F19：Kaspersky〈What is Quishing or QR Phishing〉，https://me-en.kaspersky.com/resource-center/definitions/what-is-quishing ；Mjolnir Security〈Quishing: Phishing That Hides Inside a QR Code〉，https://intel.mjolnirsecurity.com/quishing-qr-phishing
• F20：Loginsoft〈What is Sandboxing?〉，https://www.loginsoft.com/glossary/sandboxing-in-cybersecurity
• F21：SentinelOne〈What Is Sandboxing in Cybersecurity?〉，https://www.sentinelone.com/cybersecurity-101/endpoint-security/what-is-sandboxing/
• F22：Microsoft Tech Community〈Email Protection Basics in Microsoft 365: Anti-malware, Safe Attachments, and Quarantine〉，https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/email-protection-basics-in-microsoft-365-anti-malware-safe-attachments-and-quara/3791516/replies/3792330
• F23：Google Workspace Help〈Set up rules to detect harmful attachments〉，https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-rules-to-detect-harmful-attachments?hl=en&visit_id=639276222782234346-3408260225&rd=1
• F24、F26：InfoSec〈Security Incident Handling for Individuals〉，https://www.infosec.gov.hk/en/best-practices/person/security-incident-handling-for-individuals
• F25、F26、F27：InfoSec〈Ransomware〉，https://www.infosec.gov.hk/en/knowledge-centre/ransomware
• F32：HotHardware〈Gmail Will Soon Block JavaScript Attachments To Fend Off Malware Attacks〉，https://hothardware.com/news/gmail-will-soon-block-javascript-attachments-to-fend-off-malware-attacks
• U01–U12：未證實項目，見本文第十二節，全部以問句出現；本節不代表本站已提供相關服務。