気にするべきは添付ファイルだけではありません。
リスクは他にもあります。
メールは、テキスト形式とHTML形式がありますが、HTML形式、表現力が豊か故にあれこれ仕掛けをできます。
迷惑メールや、詐欺的なメールだと、今どきは、ほぼHTML形式ですね。
メールの作りてが手抜きをしてると（あるいは、考えなしでメールを記述してしてると）、たまにテキスト部が無いモノもありますね。
まあ、読ませる気が無いとも言えますが、まともなメールであっても、HTML形式だけならば、それはそれで、セキュリティー意識が極めて低いなとも判断もできます。
で、添付ファイルですが、添付される内容しだいです。
十分に注意だし、文面も添付も巧みな偽装もしてきますが、どうしても添付ファイルを開くなら、十分に安全を確保しつつです。
いわゆるゼロデイ攻撃だと、セキュリティーソフトがリスクをスルーすることもあります（急ぎや緊急でもないなら、1日とか数日後に見るもありですね、同時多発的な攻撃だと、他所で攻撃されて、それが検知されてるもありますから、一方で、悪意にあるメールに限って、急かしたり、重要性を強調しますが、逆に嘘くさいとも言えます (w）。
添付ファイルは、セキュリティーソフトでチェックされる（サーバー側か、端末側かあるいは両方かで）ので、あまり悪さはしにくいですね。
それでも、やはり攻撃手段としては、添付ファイルに何かしかけるはあるあるです。
一方で、高度なテクニックで脆弱性を狙ってマルウェア感染をさせるよるも、メールの読み手を騙す方が楽です。
で、HTML形式メールに話を戻しますが、HTML形式は、メーラーに依存しますが、メールを開いただけ（プレビューしただけ）でも、スクリプトで悪さを仕掛ける事が出来ますし、そこまで悪意がなくても、Webビーコン等を仕掛けていれば、メールを開いた事（プレビューしたこと）は、送信元に把握をされることもあります（生きているメールアドレスで、読まれているメールアドレスと把握をされる）。
また、URLも、Webサイトに悪意がある仕掛けとか、詐欺的というだけでなく、URLをよく見ると、ドメインの後ろにあるパラメーターが割と複雑で、何らかの意味ありげなハッシュ値は、数字の羅列（IDの如く）になっていることがあります。 これは、URLとメールアドレスを紐付けていると思われます。
こういうURLを踏むと、どのメールアドレスのメールから開かれたかが把握をされますから、生きているメールアドレスで、読まれているメールアドレスと把握をされる可能性があります。 その上で、Cookieの利用やらあれこれ仕掛けで、デジタルフィンガープリントで個の識別がされて、行動追跡をされたりもありえます。
変なメールのURLは開かない（メールにあるボタンは押さない）のが鉄則ではありますが、URLをよく見ることです。 ただ単に、悪意あるサイト、詐欺サイトに誘導をする以外の仕掛けというのはあります。
こんな感じであれこれ仕掛けができるので、メールのプレヴューをするだけでも、危なっかしいです。
一方で、メーラーによっては、HTML形式は無視してテキストメールに変換をしたり（必要ならHTML形式に戻せる）、HTML形式でも画像は表示させない（Webビーコンの抑止）とか、安全性に配慮をしてるメーラーもあります。
ご利用されているメーラーがどんな機能や仕様なのかは把握をしておいて、活用できる機能なりがあれば活用です。
メーラー
