將事件遏制與聲譽恢復分開
發送帳戶被盜會產生兩個相關的問題。未經授權的行為者可能仍然具有存取權限，且收件者或提供者可能已經學會不信任由此產生的郵件。阻止行為者是首要任務，但這並不能證明交付聲譽已經恢復。將遏制、恢復合法發送和接收結果視為具有單獨證據的單獨階段。
本文是建議的恢復框架，而不是事件報告。無帳戶、憑證、訊息追踪， 黑名單 檢查了條目或提供者儀表板。任何安全性操作都必須由授權回應者使用適用的提供者程式來執行。發布草稿不能用作重設憑證、撤銷存取、刪除郵件或聯絡受影響收件者的權限。
在增加流量之前遏制訪問路徑
Microsoft 的受損帳戶指南於 2026 年 7 月 17 日更新，建議在調查期間阻止存取並解決持久性問題，而不僅僅是更改密碼。它包括會話、身份驗證方法、應用程式同意、角色和轉發評論。這些是 Microsoft 特定的回應領域；實際環境需要相應的授權步驟和證據。不要將新的機密發送到攻擊者仍然可以存取的郵箱中。 Microsoft 帳戶受損回應.
指定事件負責人並記錄每次遏制行動實際完成的時間。保持計劃的行動、提交的行動和驗證的結果不同。成功的密碼變更並不證明每個令牌、連接的應用程式或轉發規則都已解決。在保留限製或補救更改刪除理解事件所需的上下文之前，請在組織的事件處理流程中保留相關日誌。
定義受影響的內容
建立一個有界的事件窗口，從最早支援的可疑活動到最新驗證的未經授權的操作，並明確說明不確定性。識別受影響的帳戶、發送串流、出站基礎設施和接收人群。單一受感染的使用者可能與合法應用程式共用基礎設施，而受感染的整合可能會到達多個可見郵箱。不要從一個資料夾或一個警報推斷出完整的範圍。
影響記錄應將未經授權的訊息與因事件而延遲、拒絕或過濾的合法訊息分開。保留分母和來源的計數：受影響的接受者來自哪些人群、在哪個時間間隔、在哪個提供者處？遙測不可用是一個限制，而不是零。避免將個人訊息內容分發到授權調查人員以外。
檢查身份驗證而不將其視為無罪
透過受損的合法服務發送的郵件仍可能透過 SPF, DKIM 和 DMARC。域身份驗證評估定義的身份關係；它並不能證明人類請求或訊息內容是可信的。修復真正的身份驗證缺陷（如果存在），但不要聲稱發布更嚴格的策略會消除早期的發送行為。 RFC 9989 ，第 4.4 節和第 11 節.
相反，不要假設事件發生後每條失敗的訊息都是聲譽拒絕。保留完整的SMTP回應和階段、實際發送身分和目前路由。永久性收件人錯誤、臨時資源問題和提供者限制需要不同的處理。僅回覆類並不能證明共同原因。 RFC 5321 ，第 4.2.1 節.
單獨恢復provider權限
安全帳戶可能仍無法發送。 Microsoft 在其復原指南中進行了調查後從其受限實體工作流程中刪除。此步驟與決定如何處理新郵件的下游提供者不同。在安全所有者批准恢復之前，請勿僅為了測試受損帳戶是否可以再次發送而刪除限制。 Microsoft 帳戶受損回應.
如果涉及外部列表，請使用其目前所有者驗證的補救路線和支援的原因和操作記錄。如果接收者套用自己的信譽限制，請遵循該接收者的流程。不要向不相關的運營商提交相同的通用聲明，購買所謂的有保證的恢復或轉移到新的身份來逃避未解決的濫用問題。
在測量條件下重新引入所需流量
定義能夠證明業務功能恢復的最小合法發送人群。使用授權收件者和普通的預期內容，而不是旨在強行「溫暖」帳戶的大爆炸。 Google 的寄件者指南傾向於持續、逐步增加數量並監控回應、投訴和聲譽。這是針對接收者的指導，而不是固定恢復期的承諾。 Google 寄件者指南.
在釋放延遲郵件之前記錄原始佇列狀態。有些通知可能已經過時，有些通知可能已經被接受，儘管客戶端結果不確定。指定一名所有者重試決策，以便應用程式和郵件平台不會建立競爭副本。在訊息資料最終確定完成後，接受SMTP伺服器承擔傳輸責任；收件匣的放置仍然是一個單獨的觀察。 RFC 5321 ，第 4.2.5 節.
使用虛構的復原時間表作為工作表
在一個虛構的事件中，安全團隊首先記錄遏制情況，然後驗證不存在任何已知的未經授權的存取路徑，最後才批准一小部分合法的發送佇列。郵件團隊記錄提供者的接受情況和任何持續的延期。隨後的審查將接收者的投訴和允許的放置觀察與事件前的基線進行比較。這些是擬議的里程碑，而不是已執行的行動或經過一段時間的承諾。
時間表必須保留不利的發現。如果接受度提高而投訴仍然很高，那麼恢復是不完整的。如果儀表板缺乏足夠的數據，請將指標標記為不可用。如果再次發生未經授權的活動，請返回遏制狀態，而不是增加數量以追求更好的交付百分比。不同的接收者可能會以不同的方式恢復，因此不要平均排除仍受影響的客戶群。
關閉有證據，而不是看起來乾淨的儀表板
與安全人員和企業主一起設定關閉標準：遏制證據、恢復授權操作、受控交付結果和定義的監控間隔。任何收件者或事件通訊都需要單獨批准和準確的範圍。沒有固定的天數或成功的測試可以保證未來的聲譽。
顯示事件遏制和衡量的交付/聲譽恢復時間表。這一確切的目錄要求仍然開放。下面的恢復圖是一份記錄計畫。實際事件遏制、提供者適用性、合法訊息結果和衡量的聲譽時間表均不存在，且不得表示為已完成。