内容摘要：上个月，我同事收到一条短信，说她网购的包裹“地址不详被退回”，点进去补录信息就能重新派送。那个页面做得跟顺丰官网一模一样，logo、配色、客服弹窗，连网址都像——就是多了个“.top”后缀。她输入银行

上个月，辨别我同事收到一条短信，网站伪说她网购的辨别包裹“地址不详被退回”，点进去补录信息就能重新派送。网站伪那个页面做得跟顺丰官网一模一样，辨别logo、网站伪配色、辨别客服弹窗，网站伪连网址都像——就是辨别多了个“.top”后缀。她输入银行卡号后，网站伪卡里少了八千块。辨别这不是网站伪骗术高明，是辨别大多数人根本不会看网址。

看域名后缀是网站伪最快的筛子。正规企业官网基本用“.com”、辨别“.cn”、“.org”，银行和政府机构更严格。凡是让输密码、转账、绑卡的页面，域名后缀是“.top”、“.xyz”、“.icu”、“.vip”这类冷门货，直接关掉。别跟我扯什么“国际通用”，银行不会为了省十几块钱注册费去用廉价域名。这是成本逻辑，不是技术问题。

再看网址前缀的“@”符号。比如“http://www.icbc.com@fishing.xyz”——浏览器会忽略“@”前面的所有内容，真正跳转的是“@”后面的地址。这招老得掉渣，但每年依然有人上当。你盯着看十秒，但凡网址里出现“@”，基本就是钓鱼。

还有个细节，很多人忽略。正规网站的“锁”图标点开，会显示“连接是安全的”，并且证书颁发机构是知名公司，比如DigiCert、GlobalSign。假网站也有锁，但点开证书详情，颁发者往往是一串乱码或“CloudFlare”免费版。免费证书五分钟就能申请，别被那个小锁骗了——它只代表数据传输加密，不代表网站可信。就像一个人穿了制服，不代表他是警察。

移动端更要小心。手机上地址栏被压缩，很多人根本不看完整网址。诈骗分子就钻这个空子，用“amp.”、“m.”前缀伪装移动版页面。你长按地址栏，选择“复制链接”，粘到备忘录里看。假网址往往在二级域名上做文章，比如“taobao.com.verify-login.xyz”，真正的域名是“verify-login.xyz”，跟淘宝没半毛钱关系。记住：域名从右往左数，第一个“.”和第二个“.”之间的部分，才是真正的网站名。

还有一个反直觉的判断方法——看页面有没有“登录”和“注册”分开的按钮。真网站通常把这两个功能分得很清楚，假网站为了让你快速上钩，往往合并成一个“登录/注册”，或者默认帮你勾选“记住我”。这不是技术标准，是交互习惯。钓鱼网站的设计者只关心你多久能输完密码，不关心用户体验。

最实在的一招：别点任何短信、邮件、社交软件里的链接去登录重要账户。手动输入网址，或者用浏览器收藏夹。我那个同事要是肯多花三十秒，在浏览器地址栏敲一遍“sf-express.com”，就不会有后面的事。真网址记不住？那就用搜索引擎搜“顺丰官网”，认准结果里带“官方”标识的那条。但注意，有些诈骗分子会买搜索引擎的广告位，排在搜索结果最上面。往下翻几条，找自然排名的结果，比点广告位安全得多。

判断网站真伪，说到底就是警惕心加几个小动作。网址栏多看一眼，证书详情多点一下，登录方式多想一步。这三下，花不了你一分钟，但能挡掉百分之九十的坑。剩下的百分之十，靠常识——正规平台不会让你输入银行卡密码，不会让你交“解冻费”，更不会用个人账户收款。遇到这种，甭管页面多像真的，直接走人。