逾四成澳大利亚政府机构邮件防欺骗保护仍不充分

来源机构：Proofpoint (AU Newsroom)　|　原文：Almost Half of Australian Government Bodies Still Not Fully Protected Against Email Spoofing　|　原文发布：2026-11-11　|　页面性质：中文翻译与摘录（非原创综述）

概述

悉尼，2026 年 11 月 11 日——Proofpoint, Inc.（人与代理网络安全全球领导者）发现，超过五分之二（43%）的澳大利亚政府机构未能跟上邮件认证的步伐，使澳大利亚公众、政府工作人员、专业人士及其他利益相关方面临更高的邮件欺诈风险。这些新发现基于对澳大利亚政府 155 个主要机构的域名型邮件认证、报告与一致性（DMARC）分析，涵盖国防部、内政部、外交与贸易部、教育部、就业与工作关系部、社会服务部、气候变化与能源环境水利部、财政部与金融部等。其中许多机构掌握澳大利亚民众的巨量数据，以及关乎澳大利亚安全的重要信息。DMARC 是一项邮件认证协议，旨在防止域名被网络犯罪分子滥用，在邮件抵达预期收件人之前对发件人身份进行认证。它有三个保护级别——监测（monitor）、隔离（quarantine）与拒绝（reject），其中拒绝（reject）是阻止欺骗邮件进入收件箱前的最强策略设置。

DMARC 分析发现

分析显示，虽然 97% 的澳大利亚政府机构已采用该邮件认证协议，但不到五分之三（57%）已将其实施在最高级别（reject），从而阻止被欺骗的邮件。令人警觉的是，3% 的澳大利亚政府机构完全没有任何 DMARC 记录，使其面临网络攻击的威胁。该分析正值影响公共服务与关键基础设施的网络事件激增之际。澳大利亚信号局（ASD）的《2025–26 年度网络威胁报告》警告，AI 正在加速网络威胁并增加运营中断风险。缺乏严格邮件验证的政府机构，可能通过令人信服的诈骗被冒名，以窃取凭据、登录信息或敏感个人数据。Proofpoint 于 2025 年首次发布澳大利亚政府域名的 DMARC 分析时，发现 50% 的政府机构实施了 DMARC 最严格的防护级别。一年后，这一比例从 50% 微升至 57%，提升了七个百分点。

专家观点

Proofpoint 亚太及日本地区先进技术集团高级总监 Steve Moros 表示：一年前，我们的研究显示澳大利亚一半的政府机构基本邮件防御不足。尽管进展令人鼓舞，但在当今不断演变的威胁态势下，速度远远不够快。政府机构是网络犯罪分子的主要目标，掌握着巨量敏感个人信息，对国家安防意义重大。若没有最强力的防护，政府域名就可能被用于发送令人信服的欺诈邮件，从根本上侵蚀澳大利亚民众对政府通信的信任。

增强邮件安全的建议

核验所有邮件通信的有效性，警惕可能存在的、冒充同事、供应商与利益相关方的欺诈邮件。对任何索取登录凭据、或威胁若不点击链接就暂停服务或账户的通信保持谨慎。采用防钓鱼的多因素认证，例如通行密钥（passkeys）。

常见问题（答案均取自上述人类原文章节）

什么是 DMARC 的三种策略级别，哪个最强？

DMARC 有 monitor（仅监测，p=none）、quarantine（隔离，p=quarantine）与 reject（拒绝，p=reject）三级。reject 最强，可在欺骗邮件抵达收件箱前将其阻断；本分析中仅 57% 的澳大利亚政府机构启用该级别。

澳大利亚政府机构的 DMARC 部署相比去年有何变化？

启用最强 reject 策略的比例从 2025 年的 50% 升至 2026 年的 57%，提升 7 个百分点；但仍有 3% 的机构完全没有任何 DMARC 记录。

缺少 DMARC 对政府机构意味着什么风险？

缺乏严格邮件验证的政府域名可被用于发送令人信服的冒名欺诈邮件，以窃取凭据、登录信息与敏感个人数据，侵蚀公众对政府通信的信任。