邮件账号接管（ATO）是怎么发生的，如何检测与遏制？

凭据泄露（数据泄露库撞库、网络钓鱼、信息窃取木马）或令牌/会话劫持，让攻击者获得邮箱登录权。一旦进入，可静默读取邮件、设转发规则、重置关联账户密码。

关注异常登录地点/IP、新设备、非常规时间、突发大量外发或规则变更。登录风控与 UEBA 行为分析是关键手段。

强制 MFA（优先 FIDO2/通行密钥，抗钓鱼）、凭据泄露即强制改密与注销会话、审计并删除恶意转发/收件箱规则、对特权邮箱做更严格监控。