如何识别钓鱼网站

钓鱼是一种骗术：有人制作看起来像真实公司、银行或同事的消息或网站，说服你交出有价值的东西，通常是密码、银行卡号或一次性验证码。页面往往是真实登录页的高仿品。唯一可靠的差别，是它所处的位置。

本文介绍常见的警示信号，给出在行动前核查链接的流程，并说明如果已经输入了信息该怎么办。这些做法都很实用，养成习惯后只需几秒钟。

钓鱼通常如何找上你

大多数钓鱼都从一条让你赶快行动的消息开始：

• 电子邮件： 声称账号被锁定、付款失败或有包裹等待领取。
• 短信和聊天应用： 一条短链接加上紧急请求。
• 搜索广告和社交媒体帖子： 把你引向仿冒正规品牌的网站。
• 二维码： 出现在海报、停车计费器或消息中，打开的是假页面。
• 电话： 要求你访问某个网站或念出验证码。

这类消息常常施加压力（“24 小时内处理”）、借助权威（“你的银行”“税务机关”），或给出好得离谱的条件（“你中奖了”）。目的就是让你不假思索地点击。

页面与地址上的警示信号

检查域名，也就是关键的那一部分

网址是有结构的。在 https://login.example.com/account 中，注册域名是 example.com，前面的 login 只是子域名。攻击者可以随意控制自己域名下的任何子域名，所以假网址可能长这样：

真实地址	假地址	破绽
bank.example.com	bank.example.com.secure-check.net	末尾真正的域名是 secure-check.net
example.com	examp1e.com	用数字 1 代替字母 l
example.com	example-login.com	在品牌名上附加了多余的词
example.com	example.co	结尾不同
example.com/login	example.com@evil.net/login	@ 之前的内容会被忽略，真实目的地是 evil.net

读域名时，始终从右向左读，直到第一个单斜杠为止。

其他信号

• 请求与情境不符。 快递服务要求你填写银行卡信息才能“释放”一件免费物品，是常见套路。
• 设计粗糙或语言不通顺。 许多假页面做得马虎，但好的并不会，所以页面干净并不能证明什么。
• 意外的登录提示。 点了消息里的链接后被要求重新登录，是危险信号。
• 索取敏感数据的弹窗， 或不让你离开的页面。
• 你没有要求的文件下载， 尤其是压缩包或程序。

为什么小锁不能说明问题

小锁显示的是加密连接，以及与该网站自身名称相符的证书。任何控制某个域名的人都可以获得证书，包括 Let's Encrypt 这类服务提供的免费证书。因此，钓鱼网站完全可以为它的假域名拥有一个有效的小锁。HTTPS 回答的是“这个连接是否私密、显示的域名是否属实”，而不是“这是不是我以为的那家公司”。两者的区别在 HTTPS 与 VPN以及 Cloudflare 的 HTTPS 概述中有进一步说明。

安全的核查流程

每当有消息要求你登录、付款或确认某事时，按下面的步骤走一遍。

1. 先停一下。 施压正是被用在你身上的手段。至少等一分钟。
2. 不要使用消息里的链接或号码。 通过你自己的书签、官方应用或亲自输入网址来打开该服务。
3. 在账号内部查看有没有同样的通知。 真实的提醒在那里也会出现。
4. 如果一定要查看链接， 在电脑上把鼠标悬停在链接上，在手机上长按，然后读出完整地址。把注册域名与真实域名对比。
5. 检查发件人，而不只是显示名称。 名称可以写成“你的银行”，而实际地址完全是另一回事。
6. 用银行卡、账单或官方网站上的号码给机构打电话， 而不是用消息里的号码。
7. 有疑问就举报。 转发给运营商的举报邮箱，或按 CISA 介绍的举报方式办理。

一个例子

小陈收到一条短信：“您的包裹投递失败。请确认地址并支付 1.20 元以重新安排投递：https://post-delivery-confirm.example-help.top。”

• 这周她没有买任何东西，情境可能不符。
• 从右往左读，域名是 example-help.top，并不是邮政机构的域名，前面那一长串只是子域名。
• 消息制造压力，并为一笔极小的费用索要银行卡信息。

小陈没有理会链接。她打开官方快递应用，没有任何待收包裹。她删除了短信并进行了举报。如果她点了链接并输入卡号，那个页面就会把卡号直接发给攻击者。

如果已经输入了信息怎么办

1. 立即修改密码。 在你信任的设备上，到真实网站修改。其他使用过同一密码的地方也要改。
2. 开启双重验证， 如果之前没开，并退出所有其他已登录的会话。参见什么是双重验证。
3. 如果输入了支付信息，立即联系银行或发卡机构。 他们可以冻结银行卡并核查近期交易。
4. 检查账号最近的活动， 包括邮箱里的转发规则、新增的设备和恢复信息。
5. 如果下载过文件， 用可信的安全工具扫描设备。
6. 向真实服务方举报该页面。 保存好假页面的地址、不要再次打开，有助于他们将其下线。

提前降低风险

• 使用密码管理器。它只会在正确的域名上自动填入登录信息，仿冒页面什么也得不到，这是一个安静却有效的预警。
• 凡是提供双重验证的地方都开启，最好使用安全密钥或通行密钥，它们与真实地址绑定。
• 保持浏览器和操作系统更新，内置的警告功能会不断改进。
• 为银行等敏感服务使用书签。
• 在共享网络上要小心，但要记住 VPN 不会判断你访问的网站是否可信。

局限与注意事项

• 没有任何信号是完美的。 制作精良的钓鱼页面可以有有效的小锁、干净的设计和可信的地址。要看你是如何进入这个页面的。
• 熟悉的发件人也可能被冒充或被盗号。 来自朋友账号的消息可能出自攻击者之手。
• 验证码很有价值。 绝不要把一次性验证码念给任何主动联系你的人。正规公司不会索要。
• VPN 不是应对此事的工具。 它加密你的连接，但无法分辨另一端的网站是否真实。参见 VPN 无法保护你免受什么。想了解更多，EFF Surveillance Self-Defense 的指南对钓鱼和更安全的习惯有深入介绍。

总结

钓鱼靠的是压力和模仿，所以防御的办法是放慢节奏、核对真实域名。通过自己的书签或应用进入服务，对意外的登录请求保持怀疑，不要只依赖小锁，并用密码管理器加双重验证来降低失误造成的损失。如果你还想在共享 Wi-Fi 上保护连接，可以阅读在公共 Wi-Fi 上使用 VPN。