收到勒索或敲诈邮件如何研判处置？哪些属于纯恐吓、哪些是真实失陷？

第一类：批量恐吓邮件。声称已控制你的设备或掌握隐私内容，要求付款，但不提供任何可验证的具体证据，或仅引用一个来自外部数据泄露的旧口令。第二类：定向敲诈。提供了确实属于本组织的非公开信息片段作为要挟凭据。第三类：真实失陷通知。攻击者已经实施了加密或窃取，邮件是勒索环节的一部分。误把第三类当第一类忽略，是最严重的处置失误。

关键判定是「证据的不可公开性」。若邮件中的口令来自公开泄露数据集、或所谓的证据只是通用话术与截图拼贴，则倾向于批量恐吓。若邮件包含本组织内部非公开的文件名、目录结构、人员关系、系统主机名或未公开的业务数据片段，则必须按真实失陷启动响应，不得因「可能是猜的」而降级。

不与对方进行任何形式的接触，回复只会确认地址有效并招致后续投递。但不能就此结束：若邮件中引用了某个确实曾被本组织使用过的口令，说明该口令已在外部泄露，应核查该口令是否仍在任何系统中使用、以及是否存在复用。这一步是批量恐吓邮件唯一的实际价值。

按 NIST SP 800-61 Rev.2 的事件响应生命周期启动：先做检测与分析确认影响范围，再执行遏制、根除与恢复，最后开展事后活动。涉及恶意软件加密的，同时依据 NIST SP 800-83 Rev.1 关于恶意软件事件处理的指导执行，重点是遏制扩散、确认所有受影响主机、以及在确认根除后再恢复。恢复的前提是备份本身未被污染，恢复前必须验证备份完整性。

任何与攻击者的接触都应由管理层与法务共同决策，不能由技术人员自行发起——接触本身会暴露组织的响应状态与优先级，且可能涉及法律与合规问题。技术团队的职责是提供准确的影响范围评估，供决策使用。

无论判定为哪一类，原始邮件都应完整保全（.eml 原件），包含全部头字段与附件。批量恐吓邮件的样本积累有助于识别投递基础设施；真实失陷场景下，勒索邮件本身即为事件证据链的一环。