PDF 图标、熟悉的联系人姓名，或名为“invoice”的文件都会降低人的警惕，但并不会自动降低真实风险。更有用的问题是：除了这封邮件本身，你是否有独立理由相信此时应该收到这个具体文件？
把上下文和文件行为放在一起判断
| 信号 | 较低风险解释 | 较高风险解释 |
|---|---|---|
| 是否预期 | 你主动索取了该文件 | 没有任何背景就突然收到 |
| 发件人 | 已知联系人，且对话符合预期 | 地址或对话异常 |
| 文件行为 | 打开后不要求特殊操作 | 要求启用宏、脚本、外部内容或关闭安全功能 |
| 验证方式 | 可以通过其他渠道确认 | 邮件本身是唯一证据 |
扩展名不能把文件简单分成安全和危险
可执行文件、压缩包、Office 文档、HTML、PDF 等都可能被滥用。熟悉的文件类型不是安全证书。
同样，也不是所有 PDF 或 ZIP 都危险。文件类型只是一个信号，还需要结合来源、预期场景和打开后要求的操作。
打开前的更安全流程
- 1
先确认是否真的在等这个文件
如果现实中的业务流程无法解释它的出现，不要被品牌 Logo 或紧急措辞带着走。
- 2
通过独立渠道确认发件人
使用已有聊天、已知电话号码或之前的可信对话。
- 3
遇到异常启用请求就停止
要求启用宏、脚本或关闭保护时，应先核实。
- 4
敏感文件优先从官方门户获取
银行、工资或云服务文件应自行打开官方应用或网站。
当文件、发件人和现实上下文彼此一致时，再考虑打开附件。高影响文件应先在邮件之外确认，而不是只相信文件名。
把这个威胁放回真实场景
来源与延伸阅读
短期任务需要一个独立收件箱？
当未来找回并不重要时，临时邮箱可以减少长期邮箱地址的暴露。它是一层隐私保护，不是账户安全的替代品。
创建临时邮箱