上周三晚上，未知网站问何我邻居老周差点把养老钱转给一个“银行客服”。请谨那网站域名是慎访“icbc-verify.com”，页面做得跟真的解决一模一样，连客服声音都像。未知网站问何他输完密码前最后一秒，请谨手机银行App弹了个风险提示，慎访才没出事。解决你看，未知网站问何问题从来不是请谨“要不要点”，而是慎访“怎么在点之前就识破”。

未知网站的解决风险不在“未知”本身，在于它伪装成“已知”。未知网站问何钓鱼站、请谨诈骗页、慎访带木马的下载源，九成以上都借了正规平台的外壳。你访问一个陌生链接，真正该问的不是“这网站安全吗”，而是“它为什么出现在我面前”。邮件里催你改密码的、短信里说你中奖的、社交软件上发你“高清资源”的——这些入口本身比网站更可疑。我自己的习惯是，凡是主动找上门的链接，一律不点，哪怕它顶着“官方”的名头。真有事，我自己开浏览器输网址。

当然，总有手滑的时候。比如朋友发来个好玩的东西，微信里直接点进去，页面加载一半才觉得不对劲。这时候别慌，也别急着关——先断网。飞行模式一开，页面就断了，但有些恶意脚本已经跑了。接下来别重启，直接清浏览器缓存和Cookie。这招对大部分“只偷数据不装木马”的页面有效。要是你已经在里面输了账号密码，那就立刻去改密码，别等明天，改完再检查有没有异地登录记录。

有人会说，我手机有杀毒软件，电脑有防火墙，怕什么？我见过太多例子了。杀毒软件是事后诸葛亮，它能拦已知病毒，拦不住精心构造的钓鱼页面。真正的防线是你自己的判断力。教你个土办法：把手指放在屏幕上的网址栏，先看域名后缀。比如“taobao.com”和“taobao.com.xyz”，后者就是冒牌货。再看协议，正规网站都是“https”，但别以为有“s”就安全，现在骗子也买得起SSL证书。最靠谱的是查备案——国内正规网站都有ICP备案号，拉到页面底部能看到。没有备案的，八成是境外搭的临时站点，关了就跑。

但话说回来，有些网站你压根看不出毛病。比如一些技术论坛、小众资源站，界面干净，内容专业，可它就是个“蜜罐”——专门收集访问者的IP和浏览器指纹。这种不算恶意攻击，但你的信息就这么被摸走了。对付这类，我建议用一次性邮箱注册，密码也别用自己常用的。更简单的方法，装个浏览器扩展，比如uBlock Origin，能拦掉大部分跟踪脚本。别嫌麻烦，你每次点“同意Cookie”，就已经把一部分隐私交出去了。

最后说个反直觉的事。有些未知网站其实是安全的，比如独立开发者的个人博客、开源项目的文档页。它们没有华丽外表，但内容扎实。判断标准很简单：看它是否向你索取敏感信息。只要不问你要手机号、身份证、银行卡，就算是个烂网站，最多浪费你几分钟。真正危险的反而是那些“太友好”的——一上来就送优惠券、送VIP、送免费试用，巴不得你赶紧注册。

所以我的结论是：别把“未知”当敌人，把它当陌生人。陌生人跟你搭话，你可以礼貌回应，但别跟人家回家。遇到链接，先想它怎么来的，再想它要什么。如果这两点都想不清楚，那就别点。老周后来跟我说，他当时要是多看一眼网址栏，那个“icbc-verify”的拼写漏洞，他其实能看出来。但人一急，眼睛就瞎了。你下次遇到类似情况，先深呼吸，再动手，比什么安全软件都管用。