收到同事新账号通知时，应通过原渠道向通知发出人二次确认身份与意图，避免未验证即点击链接或提供凭证，并保存原始通知截图与记录。如无法通过原渠道确认，应立即报给安全团队并冻结相关申请，记录沟通时间、渠道和人员以便追踪处理。随后更新权限流程记录。
SafeW：为什么要通过原渠道二次确认新账号通知
立即停止并审查收到的通知内容
- 核心结论：在接到新账号通知后，立即暂停任何基于该通知的操作，仔细阅读通知内容，检查是否包含异常链接、拼写错误或非公司惯用表达，防止钓鱼信息造成账户泄露与权限误操作。
- 操作要点：保存通知原文与截图，并记录收到时间和发送者信息，便于后续与原渠道核对时提供证据和还原事件经过，以支持安全团队分析与处置。
- 注意事项：不要通过通知中提供的联系方式直接回复或点击其内嵌链接，应使用公司白名单或已知联系方式进行后续确认，以避免遭遇伪造回复或钓鱼页面。
通过原渠道向发送者二次确认身份
- 关键步骤：使用与发送者平常沟通的原始渠道（如企业邮箱、内部工单系统或电话）发起确认，明确询问是否发送该新账号通知，避免通过原通知内提供的替代联系方式确认。
- 必要记录：在二次确认时记录对话要点、确认时间与使用的渠道，并保留相关回复凭证，便于后续追踪和将来类似事件进行比对分析。
- 异常处理：若对方无法通过原渠道确认或回复含糊，应立即暂停任何账号创建或权限变更请求，并将情况上报给公司安全或IT负责人以便进一步核实。
SafeW：如何辨别新账号通知的真伪并防止社工攻击
检查发件人信息与邮件头部细节
- 验证发件人：确认发件邮箱是否为公司官方域名或在企业白名单内，检查邮件头部来源IP与转发路径，若出现异常来源或中间转发节点，应视为可疑并停止处理。
- 识别伪造标识：注意发送者显示名称与实际邮箱地址不一致、邮件签名缺失或内容中含有紧急催促语句，这些都是社工攻击常见特征，需额外核实。
- 比对历史样式：将该通知与公司历史通知样式、用语和模板进行比对，若格式或措辞明显不同，应通过原渠道询问发送者以确认真实性。
核实通知中涉及的链接与附件安全性
- 勿直接点击：不在未验证的通知中直接点击链接或打开附件，可先将链接复制到安全检测工具或通过公司安全团队进行扫描确认是否为恶意网址或携带恶意代码。
- 使用沙箱检测：若必须查看附件内容，应通过公司提供的沙箱或隔离环境进行打开与检测，避免在生产环境中直接操作，降低恶意文件感染风险。
- 核对跳转目标：将鼠标悬停在链接上查看真实跳转地址，确保域名与公司或可信服务一致，若存在短域名或可疑子域，应使用原渠道确认来源。
SafeW：通过原渠道二次确认的新账号操作流程
选择合适的原渠道进行确认
- 优先渠道：优先使用公司内部官方渠道如企业邮箱、OA系统或IT工单平台进行确认，避免使用社交媒体、私人手机号或通知内给出的替代联系方式进行核实。
- 多渠道并行：对重要账号或涉及高权限的变更，建议同时通过两种不同原渠道（例如邮件与电话）进行确认，双重验证可以显著降低被冒用的风险。
- 记录凭证：在原渠道确认过程中保留所有通信记录与证据，包括来往邮件备份、录音或工单编号，便于后续审计和安全事件分析。
按照公司流程执行账号创建或拒绝操作
- 遵循审批链：只有在收到原渠道明确确认并完成公司批准流程后，才执行账号创建或权限变更，并确保审批记录中包含确认人和时间戳以供审计。
- 分阶段实施：对新账号实施最小权限原则，先分配基础权限并进行试运行观察，确认无异常后再按需逐步提升权限，以降低潜在风险。
- 完成后通报：账号创建或权限变更完成后，应向相关方发送正式通知并记录操作日志，同时将确认凭证归档，便于事后查验与合规检查。
SafeW：在不同沟通渠道如何执行二次确认
通过企业邮件确认操作步骤
- 发送标准模板：使用公司核定的邮件模板向发送者发起确认，明确询问该通知细节并要求在回复中注明发送时间与目的，模板化流程便于统一管理与稽核。
- 验证邮箱头：查看邮件完整头信息，确认邮件来源域名与中转节点，若发现与公司域名不一致或存在可疑跳转，联系IT团队进一步分析。
- 保存备份：将邮件内容与确认回复导出保存到指定的安全存储位置或工单系统，作为后续安全事件或权限审计的参考资料。
通过即时通讯工具或电话执行确认
- 使用白名单联系人：通过企业内部即时通讯工具中的已验证联系人列表发起确认，避免使用通知内提供的临时或私人账号进行沟通，以防社工伪装。
- 电话回拨验证：若以电话确认，应使用企业通讯录中的官方号码回拨，而非通知中给出的回拨号码，确保通话对象确为公司员工并记录通话摘要。
- 记录通话凭证：在电话确认后，应在相关工单或邮件中写明通话人员、时间与要点，并在可能的情况下附上通话录音或同事见证记录。
SafeW：确认后遇到异常如何上报、处置与留痕
识别异常并立即上报安全团队
- 判定异常标准：若在二次确认过程中对方无法提供一致的证明材料、联系方式不符或回复延迟异常，应立即停止操作并上报公司安全团队以启动事件响应流程。
- 上报要点：向安全团队提交完整的通知原文、确认记录、截图与任何可疑信息，明确描述风险等级、影响范围与已采取的临时控制措施，便于快速定位与处置。
- 快速隔离措施：在安全团队未核实前，应对相关账号申请或权限变更实施冻结或回退操作，阻断潜在攻击路径，保护公司系统与数据安全。
保留记录并进行事后复盘与改进
- 建立事件档案：将所有相关证据、确认记录与处理过程归档到安全事件管理系统，记录事件时间线与处置人员，便于事后审计与合规检查。
- 开展复盘分析：安全团队应组织复盘会议，分析事件根因、流程缺陷与漏洞，提出改进措施并在组织内部更新相关操作规范与培训材料。
- 优化预防机制：根据复盘结果调整审批流程、加强身份验证机制与沟通渠道管理，例如引入多因素验证或限制某些高危操作的执行条件。
常见问题与答案（FAQ）
- 问：为什么不能直接回复通知中的联系方式进行确认？答：通知内的联系方式可能被伪造或替换，直接使用会增加被社工攻击或钓鱼的风险，应使用平时沟通的官方渠道或企业目录中已验证的联系方式进行核实。
- 问：二次确认没有收到对方回复，我应如何处理？答：若无法在合理时间内通过原渠道确认，应暂停账号创建或权限变更，将情况上报安全与IT团队，并保留所有尝试沟通的记录以供核查。
- 问：如何判断一封邮件是否真正来自内部同事？答：检查发件人域名、邮件头部来源、语言与格式是否与公司惯例一致，并通过公司通讯录或电话回拨进行二次确认，以防止伪造发件人信息。
- 问：确认后仍发现问题，该如何补救？答：立即通知安全团队以启动应急响应，冻结相关账号或回退权限变更，保留所有证据并配合复盘与后续整改，必要时通知受影响人员与管理层。