A 欺骗 投诉是一个线索，而不是一个完整的技术发现。记者可能看到了误导性的显示名称、相似的地址、转发的消息或受损的合法帐户。通过保留他们观察到的内容、识别缺失的证据并保护任何受影响的业务行为来做出回应。不要仅仅因为屏幕截图包含公司名称就更改域策略。
收集最小的有用证据集
尽可能使用经批准的安全通道索取原始邮件，以及大致的接收时间、受影响的邮箱和所请求操作的描述。保留编辑前的原始内容。记录是谁提供的、何时获得的以及是直接来自接收者还是通过中间人。转发的正文可能会省略对调查至关重要的标头。
将原始证据置于适当的访问控制之下。创建单独的共享副本，删除不必要的收件人详细信息、个人内容或不相关的附件，同时保留相关的身份字段。对两个文件进行哈希处理并记录修订内容，以便审阅者可以理解为什么它们的字节不同。哈希绑定 一个记录 到字节；它们不能证明内容是真实的或发件人的身份被正确识别。
识别可信的身份验证证据
查找在收到消息时评估消息的系统。一个 Authentication-Results 正如RFC 8601所解释的，字段仅在其既定的信任边界内才有意义。 认证结果。生成的或不受信任的标头不应仅仅因为它使用有效的格式而被提升为接收方观察。
比较 From、信封和 DKIM 身份，而不会将传递签名与业务批准混为一谈。 DMARC 解决对齐的域身份验证而不是所有形式的模拟。 RFC 9989。如果原始消息或可信日志不可用，请保留结果未解决，并描述哪些其他证据会改变它。
建立一个假设的事件分类账
对于教学案例 DEMO-COMPLAINT-01，假设投诉人通过可见的 From billing@brand-pay.test报告付款更改请求。不提供实际消息字节、接收者时间戳、可信身份验证结果和客户详细信息。将原始哈希记录为不可用，而不是作为发明的摘要。在获得相关证据之前，分类仍然是临时的。
单独分配建议的下一步操作：邮件操作获取批准的原始导出和可信接收上下文；财务通过已知渠道验证请求；事件负责人授权任何必要的共享或遏制。这些都是说明性的角色，而不是接受任务的真实人物。
对于以后的真实共享副本，请记录原始引用、每个编辑字段、目的、收件人、批准和结果文件哈希。保持原始不变。更改的哈希可以识别更改的字节，但无法确定谁创作了消息或从未记录的监管链。此书面示例未执行原始文件、编辑样本、哈希计算或外部事件操作。
以有限的发现来回应
有用的致谢说明已收到什么、尚不清楚什么以及谁正在调查。在身份和路线证据支持该结论之前，避免指责供应商或承诺解决问题。如果资金或凭证可能面临风险，请在继续收集证据的同时立即遵循组织的事件流程。联邦调查局建议对付款请求和账户变更进行独立验证。 联邦调查局指导.
为每个丢失的物品指定一个所有者和下一步操作。邮件团队可以检索接收者日志，业务团队可以验证请求，安全主管可以协调遏制。将外部共享保持在批准的范围内，尤其是当原始内容包含敏感信息时。
仅关闭有证据支持的结论。已确认的相似请求可能会被分类，而提供商归属仍未解决。修复合法发送路由可能会弥补身份验证缺陷，但无法解决业务危害。在最终的事件包中保留这些区别，以便下一个审阅者不会将部分发现误认为是完整的解决方案。
将调查结果保留在证据范围内
这些例子是防御性决策辅助工具，而不是针对真实的人或当前提供者的观察到的指控。分别保留认证证据、业务验证和归属。当前协议源描述了域验证和可信结果边界；他们不提供缺失的账户证据或授权发布指控。