外洩的不是公司系統，
是員工拿公司信箱註冊的網站
為什麼現在很紅：員工用公司信箱註冊的範本網站幾個月前外洩過，密碼和公司信箱只差一個數字，公司信箱又沒開兩步驟驗證。
- 一句話結論
- 外洩可能發生在公司看不到的地方：員工用公司 email 註冊的第三方網站被駭，名單上就會出現公司網域的 email，有時還附帶密碼。
- 他要的是什麼
- 他不用駭你，只要等別人家的網站外洩：拿到名單，篩出你公司的網域，把密碼改一個數字試一試。
- 你今天做一件事
- 今天就到郵件管理後台確認全員已強制兩步驟驗證，再查一次有沒有轉寄到外部信箱的規則。 直接去做 →
- 哪些能信
- 2 可證明2 推論2 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；外洩發生在第三方網站，公司這邊是郵件服務帳號）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 身分層：員工用公司 email 在外部網站註冊，且密碼與公司信箱相似；公司信箱未強制兩步驟驗證；沒有外洩應變流程，也沒有定期檢查轉寄到外部的郵件規則
- 馬上自我檢測
郵件管理後台查看是否已對全員強制兩步驟驗證 以網域擁有者身分到 Have I Been Pwned 查詢公司網域 檢查郵件系統有沒有自動轉寄到外部信箱的規則- 漏洞修補方式
- 公司信箱全員強制兩步驟驗證；定期查網域外洩；寫好外洩應變流程（誰通知、誰重設密碼、誰查登入紀錄與轉寄規則）；定期檢查外部轉寄規則；工作用的外部註冊登記在 SaaS 清單上
有 15 分鐘再看：其餘 2 點
- 員工在公司系統用了相同或相似的密碼，攻擊者拿外洩帳密去試，就從別人家走進了自己家；就算密碼不重複，名單也能拿來發釣魚信。
- 不用先買工具：全員強制兩步驟驗證、偶爾查一次網域、寫好應變流程、定期檢查轉寄規則，已經涵蓋這個情境的主要風險。
公司的系統沒被駭，但員工用公司 email 註冊過的設計素材站、線上課程平台、展覽報名網站，可能有一天會被駭。員工在公司系統也用了相似的密碼，風險就從別人家走進了自己家。這篇講怎麼早點知道，以及知道之後該做什麼。
本篇目錄
一則來自國外的登入通知
假設有一家三十五人的行銷公司，設計師 F 用公司信箱註冊了一個範本網站，密碼和公司信箱只差一個數字。某天公司信箱出現一則異常登入通知，地點在國外。
先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。事後才知道，那個範本網站幾個月前外洩過，而公司信箱沒開兩步驟驗證。公司的系統一行程式都沒被攻破，破口在一個 IT 從沒聽過的網站上。
這篇要講的只有一件事：外洩不一定發生在你的系統裡，但它會順著重複的密碼走回來。
外洩在別人家，風險在哪裡
第一層是外洩發生在看不到的地方。被駭的是第三方，公司的防護碰不到。
第二層是密碼重複使用把風險帶回公司。用外洩的帳密去試其他網站，常被稱為撞庫（credential stuffing）；密碼只差一個數字，幾乎等於同一組。
第三層是名單本身就是情報。就算密碼不重複，帶著公司網域的 email 名單也可能被拿來發釣魚信。
最後是時間差。外洩被公開時，往往已經發生一段時間了。
這篇示意情境裡，有哪些鑰匙被撿走
這是示意情境，沒有實際外洩；下表列的是這類事件裡，從第三方網站流出、再被拿來試公司系統的憑證。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| 第三方範本網站帳號 | email＋密碼（可能是雜湊或明文，依該網站而定） | 員工下載設計範本 | 外洩名單中的一列 | 第三方網站的外洩資料 | 該網站帳號；但密碼與公司信箱相似 | 示意情境；幾個月前外洩 |
| 公司郵件服務帳號 | 帳號密碼（未開兩步驟驗證） | 員工日常收發信 | 與外洩密碼只差一個數字 | 公司郵件服務 | 整個信箱，含郵件、聯絡人與轉寄規則 | 示意情境；出現國外異常登入，期間活動不明 |
兩列的共同點是：第一列在別人家外洩，第二列在自己家被登入，連起來的只有一組相似的密碼。
能證明的、只能推論的
這篇是觀點文，情境是示意的，所以能證明的只有官方頁面寫明的功能；情境裡的因果只能算推論。
不花錢就能做的流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。
第一步，公司信箱全員強制兩步驟驗證。 Google Workspace 可以依使用者或群組強制兩步驟驗證；Microsoft 365 也有對應的設定。這一步最能降低「密碼外洩就被登入」的機率。
第二步，查一次公司網域。 用網域擁有者身分到 Have I Been Pwned 做網域搜尋；大量或自動化查詢需要付費 API 訂閱，使用前請自行確認條款。
第三步，外洩應變流程。 收到外洩通知或異常登入時，誰通知當事人、誰重設密碼、誰查登入紀錄和轉寄規則，事先寫好，檔名就叫 breach-runbook-m7，放在大家找得到的地方。
第四步，查轉寄規則。 帳號被入侵後，攻擊者常會設定自動轉寄。定期檢查郵件系統有沒有轉寄到外部的規則。
第五步，外部註冊要登記。 工作需要註冊外部網站時，登記在 SaaS 清單上，離職時才知道要處理哪些帳號。
什麼時候不需要買工具
二三十人的公司，「全員兩步驟驗證、偶爾查一次網域、寫好應變流程」，已經涵蓋了這個情境的主要風險。持續監控工具的價值，在網域大、人數多，或需要稽核紀錄的時候。
真的要看工具，市面上大致分四類。公開外洩查詢服務如 Have I Been Pwned 的網域搜尋（網域擁有者驗證後使用），以及付費 API。身分平台內建的 Google Workspace、Microsoft 365 兩步驟驗證強制、登入紀錄和異常登入警示。密碼管理器的外洩監控：不少密碼管理器能檢查已存密碼是否出現在外洩事件中，各家範圍不同，要自行確認；1Password 的 Watchtower 頁另外列出網域外洩報告，公司網域的 email 出現在公開外洩事件時發出警報。最後是商用的威脅情資服務，監控暗網和外洩資料，適合規模較大的組織。
限制也要一起看：外洩監控只能讓你「早點知道」，重設密碼、調查登入紀錄還是要自己做；查得到的只有已被公開或收錄的外洩事件。選的時候看三件事：小公司用免費查詢加兩步驟驗證就夠了；已經在用密碼管理器的，先確認它有沒有外洩監控功能；收到警報後要有人處理，監控才有意義。
這篇提到的項目要花多少錢
這篇的方法以人力和既有功能為主；付費 API 與商用服務的價格本文來源沒有列，照實標出來。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 全員強制兩步驟驗證 估 | 郵件服務既有功能 | 設定估 1–2 小時，另加員工協助時間 | 一次性 | — | — | 本站估算；功能見官方文件 |
| Have I Been Pwned 網域搜尋（儀表板） | 網域擁有者驗證後使用 | 本文來源未說明單次查詢是否收費 | — | — | — | 官網說明大量或自動化查詢需付費 API |
| Have I Been Pwned 付費 API | 大量或自動化查詢 | 本文未查牌價 | 訂閱 | — | — | 官網 |
| 撰寫外洩應變流程與檢查轉寄規則 估 | IT 一人 | 估 2 小時，之後每次檢查估 15 分鐘 | 一次性＋定期 | — | — | 本站估算 |
| 異常登入期間的實際損失 | 未知 | 需郵件稽核紀錄 | — | — | — | 示意情境，沒有紀錄 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
最貴的不是監控服務，是信箱被登入那段時間，你說不出有哪些信被讀過、轉到哪裡去。
你可以學到什麼
站在攻擊者那一側看，第三方網站的外洩名單是一份已經篩好的清單：他只要找出帶著某家公司網域的 email，把密碼稍微變化一下去試郵件登入。沒開兩步驟驗證的信箱一登就進，進去之後先設一條自動轉寄，之後就不用再登入了。
- 01外洩不一定發生在公司系統裡；員工用公司 email 註冊的第三方網站被駭，名單上就有公司網域。
- 02外部網站和公司系統用相同或相似的密碼，攻擊者拿外洩帳密一試就能進來，這叫撞庫。
- 03全員強制兩步驟驗證，是降低「密碼外洩就被登入」機率最有效的一步。
- 04帳號被入侵後，攻擊者常設定自動轉寄；定期檢查有沒有轉寄到外部的規則，比事後追查容易。
- 05外洩監控只能讓你早點知道，重設密碼、查登入紀錄還是要有人做，應變流程要事先寫好。
- 01撞庫（Credential Stuffing）這篇的主角：拿別處外洩的帳密來試你的系統。
- 02密碼重複使用讓第三方網站的外洩，變成公司信箱的破口。
- 03兩步驟驗證強制（2SV Enforcement）密碼外洩時擋住登入的那一道，而且要強制，不是建議。
- 04Have I Been Pwned 網域搜尋驗證網域擁有權後，查公司網域出現在哪些公開外洩裡。
- 05郵件自動轉寄規則入侵後最常被設的持久化手段，檢查是唯讀的、很便宜。
- 06異常登入警示這個情境裡唯一的訊號；有人看、有人處理才有用。
- 07外洩應變流程誰通知、誰重設、誰查紀錄，事先寫好才不會臨時亂。
- 08釣魚信（Phishing）就算密碼不重複，外洩的 email 名單也能拿來發釣魚信。
- 09網域外洩報告部分密碼管理器提供，公司網域出現在公開外洩時發警報。
- 10外部註冊登記工作用的外部帳號登記在清單上，外洩或離職時才知道要處理哪些。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 郵件管理後台 → 查看兩步驟驗證的強制狀態與未啟用名單（唯讀）看到什麼代表什麼：名單上每一位，都是密碼一外洩就可能被登入的信箱。
- 以網域擁有者身分登入 Have I Been Pwned，查看公司網域的搜尋結果（唯讀）看到什麼代表什麼：列出的每一個外洩事件，都是公司 email 曾經流出去的地方。
- 在郵件管理後台查看有沒有自動轉寄到外部網域的規則（唯讀）看到什麼代表什麼：看到不認得的外部轉寄，先記下來交給應變負責人，不要自己刪。
- 查看近 30 天的登入紀錄，篩出來自不常見地區的登入（唯讀）看到什麼代表什麼：有的話，就是這篇情境裡那則異常登入通知的真實版本。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 7 分鐘。
來源
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M2 身分與金鑰 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。