文章总结： 复旦大学计算与智能创新学院系统软件与安全实验室的研究成果《OneEmail,ManyFaces:ADeepDiveintoIdentityConfusioninEmailAliases》在网络安全国际顶级会议NDSS2026上荣获杰出论文奖。该研究首次系统性地揭示了邮箱别名机制中存在的身份混淆安全漏洞，分析了其如何被滥用于注册多个账号以绕过限制、进行网络钓鱼等攻击，并开源了防御工具箱OriginMail。
综合评分： 85
文章分类： 网络安全,应用安全,威胁情报,安全建设,解决方案
NDSS 2026杰出论文奖丨复旦大学计算与智能创新学院系统软件与安全实验室研究成果首次系统揭示邮箱别名机制的身份混淆安全漏洞
信息网络安全杂志
2026年3月21日 17:00
上海
NDSS 2026杰出论文奖
首次系统揭示邮箱别名机制的身份混淆安全漏洞
导语
复旦大学计算与智能创新学院系统软件与安全实验室的研究成果《One Email, Many Faces: A Deep Dive into Identity Confusion in Email Aliases》入选网络安全国际顶级会议NDSS 2026（CCF-A类），并荣获杰出论文奖（Distinguished Paper Award）。这是对由邮箱别名机制导致的身份混淆问题的首次系统性分析，深入研究了不同邮箱服务提供商的别名机制，不同平台处理邮箱别名的能力以及邮箱别名在现实场景的滥用攻击。
01
研究背景
邮箱别名本质上是一种地址转发或代理机制，用户可以根据不同的服务场景使用不同的别名而无需额外设置，所有发往这些别名的邮件最终都会转发到主邮箱。
但是，当邮箱服务提供商、邮箱用户与线上平台对于邮箱别名机制的认知不一致时，便利的邮箱别名机制可能带来相应的安全问题。
02
邮箱别名机制带来的身份混淆
（a）邮箱别名多重滥用
邮箱服务提供商将主邮箱与各种邮箱别名视为同一邮箱，而线上平台由于不了解别名机制，通常将不同的邮箱别名分别视为一个单独的用户。
因此，攻击者可以基于主邮箱[email protected]衍生出多个别名邮箱地址，在同一平台中注册多个账号，以此实现利用一个邮箱来多次免费试用高级功能、绕过资源限制、或充当水军操纵社交媒体等目的。
（b）邮箱别名误认攻击
不同邮箱服务提供商的别名规则也无法通用，因此即使用户了解别名机制，对别名规则的错误假设会导致别名误认攻击。例如，当用户习惯了加号后缀是常见的别名规则时，攻击者可以在一个不支持加号别名的邮箱提供商处注册邮箱账号（如下图的[email protected]），以此伪装成受害者熟人的别名邮箱，从而诱导受害者点击钓鱼邮件。
03
研究贡献
本研究取得了以下关键成果：
-
首次对邮箱别名机制开展了系统性分析，揭示了邮箱服务提供商、用户与在线平台对于别名机制认知不一致所带来的身份混淆问题。
-
揭示了28家主流电子邮件服务提供商的别名实现方式差异，发现仅有个别提供商对其别名机制提供了完整的说明文档，而其他服务提供商则缺乏透明度和一致性。
-
发现了18家顶级在线平台均不能够完全防御所有邮箱别名注册攻击，进一步导致单个邮箱地址即可批量生成用于恶意活动的账号。
-
证实了缺乏标准化的别名规范会增加普通用户遭到网络钓鱼攻击的风险，且自认为了解邮箱别名机制的用户反倒最容易被骗。
-
开源了可抵御别名机制身份混淆攻击的工具箱OriginMail。
04
会议介绍
NDSS是网络安全领域具有重要影响力的国际顶级学术会议，自1993年创办以来已成功举办33届，为中国计算机学会（CCF）推荐的A类会议。本届大会竞争尤为激烈，共收到1481篇有效投稿，最终录用265篇高水平论文，整体录用率仅为17.89%。
05
研究团队
论文由21级直博生邬梦莹（https://funeoka-yumee.github.io/）为第一作者，洪赓老师（https://security.fudan.edu.cn/members/faculty/hg/）和杨珉老师为通讯作者，并得到了国家自然科学基金和国家重点研发计划项目的支持。这项工作不仅首次系统性剖析了邮箱别名这一广泛存在却未被充分审视的“模糊地带”所潜藏的安全风险，其开源的防御工具箱OriginMail也为平台与服务商提供了切实可行的防护方案，对提升互联网基础服务的身份安全治理水平具有重要价值。
论文链接
https://www.ndss-symposium.org/wp-content/uploads/2026-s148-paper.pdf
来源：复旦大学计算与智能创新学院微信公众号
信息网络安全
《信息网络安全》创刊于2001年，是由公安部主管，公安部第三研究所、中国计算机学会主办，面向国内外公开发行的国内首批信息安全类期刊之一，于2015年成为中国科技核心期刊，2017年成为中国科学引文数据库来源期刊，2018年成为中文核心期刊，2022年入选CCF计算领域高质量科技期刊分级目录。
中文核心期刊
中国科技核心期刊
中国科学引文数据库来源期刊
CCF计算领域高质量科技期刊
我们在不断努力和完善中，期待您的关注和支持！
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：信息网络安全杂志 《NDSS 2026杰出论文奖丨复旦大学计算与智能创新学院系统软件与安全实验室研究成果首次系统揭示邮箱别名机制的身份混淆安全漏洞》