电子邮件欺骗攻击通过伪造发件人地址来欺骗收件人，对邮件系统构成严重威胁。SPF（发件人策略框架）是一种基于IP地址验证发件人的邮件认证协议，对于防御欺骗攻击至关重要。然而，攻击者可能绕过SPF验证，发动令人信服的欺骗攻击。本文提出BreakSPF，一种新型攻击框架，能够绕过SPF验证实现电子邮件欺骗。攻击者通过利用云服务、代理和内容分发网络（CDN）等具有共享IP池的基础设施，主动针对配置宽松的SPF域名发起攻击。作者利用BreakSPF对Tranco排名前100万的域名进行了大规模实验，评估SPF部署的安全性。结果显示，有23,916个域名易受BreakSPF攻击，其中包括23个排名前1000的流行域名。研究揭示了SPF配置漏洞的普遍性及其对邮件系统安全的潜在危害。本文为检测和缓解SPF漏洞、加强邮件系统安全提供了宝贵见解。该研究适合邮件安全工程师、协议开发者及网络安全研究人员阅读。

本文聚焦电子邮件系统中委托机制（如代表发送、转发规则等）存在的安全漏洞。研究发现，攻击者能够利用委托协议的实现缺陷，构造难以察觉的伪造邮件，这些邮件在客户端显示为来自合法委托者，从而绕过传统的SPF、DKIM等认证机制。作者提出了一种名为FakeBehalf的新型攻击方法，并系统性地分析了主流邮件服务（如Gmail、Outlook、企业Exchange）的易感性。通过大规模实验，证明该攻击在多种配置下均能成功，且难以被现有安全检测引擎识别。论文还讨论了潜在的防御策略，包括增强委托属性验证、改进邮件头解析以及用户教育。该研究揭示了邮件委托这一常用功能中隐藏的攻击面，对邮件安全体系提出了新的挑战。

本文系统性研究了现代CSS动态特性在无脚本指纹识别中的应用，特别是针对浏览器和电子邮件客户端。作者提出了三种创新技术：基于模糊测试的CSS容器查询利用、基于模板的算术函数利用以及复杂选择器利用，能够高精度推断应用、操作系统和硬件配置。在浏览器端，实验测试了1176种浏览器-操作系统组合，区分准确率达97.95%。在电子邮件端，21个测试的网页、桌面或移动邮件应用中有8个可被成功指纹识别，证实了即使在HTML邮件这种高度受限的环境中，指纹识别仍然可能。为了防御此类攻击，作者提出了两种机制：一是预加载条件资源以消除基于特征的泄露；二是设计邮件代理服务，在保留隐私和邮件完整性的同时保持功能兼容性。本文为隐私保护提供了新的见解和解决方案，强调了针对新兴追踪方法的健壮防御的重要性。

该论文对电子邮件生态系统中使用 TLS 和自动检测功能的安全性进行了多方面的研究。电子邮件协议（如 IMAP、POP3、SMTP）最初设计为明文协议，缺乏机密性和完整性保护。TLS 可以通过隐式方式（在邮件协议开始前）或机会性升级方式（后补方式）引入。为改善用户体验，许多邮件客户端提供“自动检测”功能，自动为用户确定一组可行的配置参数。本研究首先评估了客户端 TLS 和自动检测的设计与实现，测试了 49 个邮件客户端，发现了多种缺陷，这些缺陷可能导致隐蔽的安全降级，并将用户凭据暴露给攻击者。其次，为了了解当前部署实践是否充分避免了机会性 TLS 和自动检测引入的安全陷阱，作者收集并分析了全球学术机构的 1102 份电子邮件设置指南，观察到一些问题可能促使用户采用不安全的邮件设置。最后，利用从设置指南中获得的服务器地址，评估了服务器端对隐式和机会性 TLS 的支持情况以及证书特性。结果表明，许多用户因对 TLS 和自动检测的处理疏忽而无意中遭受安全损失，组织总体上最好为其用户规定具体详细的配置。研究综合考虑了邮件生态系统的三个视角：客户端应用程序的设计与实现、IT 管理员提供的设置指南、以及服务器端 TLS 支持与证书特性。

社交工程攻击通过利用人类信任而非软件漏洞来实施，传统的基于规则的邮件过滤器难以有效检测这类攻击。本文提出了一种名为“Filter-then-Verify”的两阶段检测框架，将归纳式图神经网络（GNN）与协同注意力机制的ModernBERT模型相结合。第一阶段，GNN对邮件网络中的结构异常进行检测，识别出发送者和接收者之间的异常模式，例如与正常通信模式偏离较大的边缘或节点。该阶段基于社交网络图谱的拓扑特征，能够快速筛选出疑似社交工程行为的候选邮件，召回率达到86%。第二阶段，ModernBERT模型对第一阶段筛选出的邮件内容进行语义验证，通过分析消息的上下文和意图来降低误报率。ModernBERT采用了改进的Transformer架构，并引入协同注意力机制以更好地捕捉邮件文本中的欺骗性语言特征。经过BERT精炼后，整体检测精度提升至92%以上。实验使用了Enron电子邮件数据集，并加入了模拟真实社交工程攻击场景的合成数据，结果表明该框架不仅能有效检测外部钓鱼攻击，还能发现内部人员威胁（如冒充内部同事的恶意行为）。该研究的核心贡献在于：1）首次结合图结构异常检测与深度内容分析来应对多阶段社交工程攻击；2）提出一种可扩展的流水线架构，适用于大规模企业邮件网络；3）验证了结构分析和内容分析在社交工程检测中的协同增效作用。本文适合安全研究人员、邮件安全工程师以及关注社交工程防御的从业者阅读。

本文提出了一种名为 PhishSigma++ 的恶意邮件检测方法，旨在解决现有检测器过度依赖易变的文本特征、在对抗性文本操纵下性能急剧下降的问题。研究背景是随着 AI 生成内容（AIGC）的发展，攻击者具备了更丰富的语言能力和逃避技术。核心洞察是：即使攻击者修改表面文本，功能意图仍会约束实体间的关系，这些关系是相对不变的信号。方法上，PhishSigma++ 借鉴了 Sigma 规则的思想，但将其推广到基于实体关系的检测。它从 RFC822 邮件中提取 40 种类型的实体类，计算 5 种跨类型关系以构建类型化邮件图，并使用粒子群优化（PSO）选择稀疏判别掩码，支持分类和类型级证据总结。在 29,142 条消息上，PhishSigma++ 在干净数据上达到 0.9675 F1 分数，在非自适应 Good Word 填充攻击（rho=0.8）下保持 0.9579 F1，而基于 token 的贝叶斯过滤器崩溃至 0.0243，DistilBERT 钓鱼检查点降至 0.7284。相比传统 Sigma 规则，PhishSigma++ 提供了更高的检测率、更广泛的 relational invariance 覆盖和数据驱动的特征选择。此外，阈值化的类型关系分数编码了 Sigma 风格字段条件的有效片段，将手工规则逻辑和学习到的关系掩码统一到单邮件框架中。

本研究深入探讨了电子邮件别名机制引发的身份混淆问题。电子邮件别名允许用户使用同一个邮箱账户生成多个不同地址，但接收方或服务提供商可能无法正确区分这些别名背后的真实身份，从而产生安全风险。论文系统分析了一类攻击场景：攻击者可以利用别名间的视觉或逻辑相似性，伪装成用户的不同身份进行社会工程攻击或绕过访问控制。研究方法包括构建大规模数据集（覆盖主流邮件服务商）、设计身份混淆检测算法，并实验评估现有防护措施的不足。主要贡献包括：量化了别名身份混淆的普遍性与危害性，提出了基于邮件元数据和发送行为的身份区分方法，并给出了改进建议。该工作有助于邮件安全防护、防钓鱼策略的设计。

本论文提出了一种名为CoordMail的新型网络攻击方法，旨在利用SMTP协议的超时机制和命令交互特性，协调多个电子邮件中间件（如邮件服务器、中继）进行汇聚放大攻击。攻击者通过精心构造的SMTP命令序列，控制多个中间件在特定超时窗口内同时向目标邮箱发送大量邮件，导致目标邮箱流量激增、服务降级甚至崩溃。研究首先分析了SMTP协议中的超时参数和命令交互逻辑，发现多个中间件在处理延迟响应时可被操纵为攻击节点。随后设计了一种协调算法，使攻击者能以低带宽消耗发起高倍率放大攻击。实验表明，CoordMail能够达到数百倍的放大系数，且难以通过传统速率限制防御。论文的主要贡献包括：揭示了SMTP协议实现中的新攻击面，提出了汇聚放大攻击的通用模型，并评估了多种邮件服务提供商的脆弱性。该研究适合网络安全研究人员、邮件服务运营商及协议开发者阅读。