如何识别钓鱼网站

去年双十一前，何识我收到一条短信，别钓说我的鱼网快递因地址模糊被退回，附了一个链接让我“重新确认”。何识点进去，别钓页面和某通快递的鱼网官网一模一样，连客服图标的何识位置都没差。我差点输了手机号和验证码。别钓后来仔细看，鱼网网址是何识“yt-expressk.com”，多了个“k”。别钓这种事我遇到过至少五次，鱼网手段越来越细。何识钓鱼网站的别钓本质就一句话：它伪装成你信任的网站，骗你输入账号、鱼网密码、验证码或银行卡信息。识别它，比装十个杀毒软件都管用。

先看网址。这是最直接、最可靠的判断依据。正规网站的域名通常简短、有明确品牌对应，比如“taobao.com”“icbc.com.cn”。钓鱼网站喜欢在域名里塞连字符、多余字母或替换相似字符。比如把“o”换成“0”，把“l”换成“1”。我见过一个模仿某国有银行手机银行的页面，域名是“1cbcmobile.com”——第一个字符是数字1，不是字母i。还有的用二级域名做文章，比如“taobao.com.security-check.xyz”，真正的主域名是“security-check.xyz”，前面全是幌子。记住：域名从右往左读，最后一个点后面的才是真实顶级域。

再看页面细节。钓鱼网站往往在视觉上做到九成相似，但剩下一成会露馅。比如图片模糊、按钮错位、字体忽大忽小。有次我点进一个冒充某电商登录页的链接，发现“忘记密码”的链接点不动，鼠标放上去根本不变手型。还有的页面没有ICP备案号，或者备案号点开是空白。正规网站底部一定有备案信息，且能跳转到工信部查询页面。更隐蔽的是，有些钓鱼页面会加载真实网站的logo和部分css，但表单提交的地址却指向另一个服务器。你可以右键查看页面源代码，搜索“action=”后面的链接，如果不是当前域名，立刻关掉。

留意输入框的异常要求。正常登录只需要账号和密码。如果页面突然要你输入“银行卡密码”“身份证有效期”“短信验证码+交易密码”组合，基本可以判定是钓鱼。某次我遇到一个冒充航空公司退改签的页面，要求填姓名、身份证号、银行卡号、卡背面三位数，还要“账户余额截图”。退票根本不需要这些。骗子在利用你的焦虑——航班取消、快递丢失、账户异常——让你来不及思考。凡是制造紧迫感、要求你“立即操作否则冻结”的，先停下来，自己手动打开官方app或拨打官方客服电话核实。

浏览器地址栏的锁形图标不是万能护身符。现在很多钓鱼网站也申请了免费ssl证书，地址栏照样显示小锁。但你可以点击锁图标查看证书详情，看颁发给谁。如果证书里的组织名称和网站声称的身份对不上，比如一个“银行”的证书颁发给某个个人或陌生公司，就有问题。另外，用手机浏览器时，长按链接预览真实网址，别直接点。微信里打开链接，右上角菜单选“复制链接”，粘贴到记事本看一眼再决定。

我自己的习惯：任何邮件或短信里的链接，一律不直接点。要么手动输入官网地址，要么从官方app里进入。如果非要确认，用电脑浏览器打开，把鼠标悬停在链接上，看左下角显示的真实地址。手机端可以长按链接，弹出菜单里会显示完整url。有一次我收到“某东客服”说我的账户被开通了白条，需要点击链接注销。我打开京东app，找官方客服一问，根本没有这回事。那个链接的域名是“jd-cancel.com”，和京东毫无关系。

最后说一个笨但有效的方法：故意输错密码。在怀疑的登录页面，输入一个明显错误的密码。如果页面依然提示“登录成功”或直接跳转到要求填更多信息的页面，那就是钓鱼。正规网站会立刻返回“密码错误”。这个办法我试过两次，两次都验证了对方是假的。钓鱼网站的技术门槛在降低，但人的警惕性可以拉高。多花十秒钟看域名，比事后报警省事得多。

本文地址：http://www.79wt.cn/news/551b1699432.html