邮箱被接管最常见的话题是”密码被偷了”，但还有一类情况同样危险、却很少被讨论：对方根本不需要你的密码，只是拿到了一项被正式授予的权限，就能用你的地址对外说话。这类权限在不同邮箱体系里有不同的实现，可留下的痕迹也不同。把它们按痕迹排成三档，你就能看懂一封”来自熟人”的邮件到底有多可信。
第一档：能读、能删、能发，但会留下”由谁代发”
一种常见的委托机制是这样设计的：你把账户的访问权授予另一个人，对方可以阅读、发送和删除你账户里的邮件，但不能修改你的密码，也碰不到账户级别的设置。发送时，收件人看到的地址仍然是你的，但邮件上会带上实际发送者的信息，等于在信封上补了一句”这封由谁寄出”。
这一档的防御重点很明确：它是显式授权，可以在账户设置里看到名单，也能随时删除。风险不在机制本身，而在于名单会不会悄悄变长——你自己几年前给同事开的那一条、离职后还挂在名单上的那一个人，都是常见的漏项。
第二档：以你的名义发信，痕迹写在”代表”两个字里
企业邮箱体系里有两种容易混淆的权限。一种是”代表某人发信”：收件人看到的发件人是你的地址，但会明确出现”某人代表你发送”这样的标注，回信会寄回你的邮箱，而不是寄给实际操作的人。另一种是”以某人的身份发信”，收件人看到的发件人和实际发件人完全一致，从表面上看不出有任何中间人。
对普通用户来说，这里最需要记住的结论是：发件人那一栏写着熟人的地址，不等于这封信出自熟人之手。同一个企业目录里，助理、共享邮箱、被管理员授予权限的服务账号，都可能产出”看起来完全一样”的来信。
第三档：企业环境里，管理员还能替你加权限
委托并不总是账户所有者自己点的。在受组织管理的邮箱里，管理员可以为某个邮箱开启阅读权限、发送权限，也可以把权限加给一个群组。帮助文档里对这一点的表述很直白：工作与学校账户的委托需要联系管理员确认。换句话说，你在个人邮箱里能自查的那份名单，在公司邮箱里未必由你掌控，甚至你从来没见过它。
同一套体系里还有一个细节值得警惕：管理员可以选择是否把别人代发出去的邮件在你的”已发送”里留一份副本。默认行为在不同配置下不一样，这意味着有些以你名义寄出的信，你自己翻发件箱也未必看得到。
自查与撤销的顺序
第一步，先看你有没有权限可查。个人邮箱的设置里通常有”授予账户访问权限""其他地址发信”这类条目；企业邮箱则要同时看个人可设置的部分和目录管理员的部分，后者要提工单问。
第二步，逐条问自己三个问题：这个人现在还需要同样的权限吗？这个共享邮箱是否已经不再使用？这条添加进来的发信地址是我本人加的吗？只要有一个回答不上来，就先撤销，之后需要再重新授予——撤销的成本是一次点按，误留的成本是以你名义发出去的信。
第三步，撤销之后确认三件事：名单里确实没有它、相关的应用授权是否也随之失效、以及是否需要在”已发送”里检查近期有没有不属于自己的邮件。发现异常时，不要只删权限，同时改掉登录口令并按平台的流程做一次会话清理。
第四步，把”以我名义发信”的权限清单当成年度例行核对项，和设备清单、授权应用清单一起过一遍。这类权限的特点是长期有效、很少被查看、且不会在界面上给你提醒，最容易在几年之后被人翻出来当作现成的信任凭证。
收到疑似代发的邮件怎么办
看到”来自熟人”的敏感要求（改收款地址、加急付款、点链接核验账户），不要只在邮件这一层判断真伪。邮件里能伪装的字段太多，而人少的时候最容易顺着那条最省力的路回复。可靠的纪律是换一条通道：用你手机上原本存的号码打过去，或者在双方都在的另一个会话里问一句。这条纪律不依赖你判断邮件真假的能力，只需要你多花三十秒。
风险提示
本文描述的委托、代发与管理员权限，均为写作时相关服务商公开文档的口径，各家实现与叫法可能变化，请以你所用邮箱的最新说明为准。文中内容仅为安全防御建议，不构成投资建议或法律意见。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。