钓鱼网站怎么识别：域名、证书之外的四个信号
结论：钓鱼站点的识别不能靠「仔细看一眼网址」，而要靠一套固定动作：不从消息里的链接进、只在书签或手动输入下登录、看密码管理器有没有自动填充、在输密码前检查这个页面在向你要什么。这四步做完，绝大多数仿冒页面都过不去。
适用边界：本文讲的是网页与邮件类钓鱼，不涉及电话诈骗、木马程序和内网渗透。判断依据是通用的技术特征，但任何单一信号都可能误判，永远看组合。
为什么「看域名」这一招越来越不好使
十年前教的办法是「看网址对不对」。现在这条仍然重要，但已经不够，原因有三个：
- 相似字符：
rn看起来像m，l像I，0像O；还有一种是把西里尔字母混进拉丁域名，肉眼几乎分辨不出。浏览器对后者会显示xn--开头的编码，这本身就是个提示。 - 子域名伪装：
login.example.com.verify-now.tld的真正域名是verify-now.tld，前面那段只是攻击者随手起的子域名。人眼习惯从左往右读，正好被利用。 - 免费证书普及：现在给任何域名申请一张有效证书都是几分钟的事。地址栏的小锁只证明「这个域名属于申请者」，不证明「它是你认识的那家公司」。
所以正确的读法是从右往左看：先找到最后一个点前面的那一段，那才是真正的域名。看到 .com.cn、.co 这类容易被拼凑的后缀，再多看两眼。
比证书可靠的四个信号
把注意力从「网站长什么样」转到「这个页面在做什么」，判断会稳得多。
| 信号 | 正常情况 | 可疑情况 |
|---|---|---|
| 密码管理器是否自动填充 | 到登录页就自动带出账号 | 一片空白，或提示「此网站不在你的库中」 |
| 页面在索要什么 | 只要账号和密码（+验证码） | 要短信验证码、备用码、验证器种子、银行卡 CVV |
| 入口是否被引导 | 你自己打开书签或手动输入 | 从邮件/短信/群消息里的链接点进来 |
| 页面催促程度 | 没有倒计时、不威胁封号 | 「24 小时内不处理将永久停用」+ 立刻输入 |
第一条尤其好用，也最容易被忽略。密码管理器按域名匹配条目，你在一个「应该是」某网站的页面上却填不出密码，这本身就是警报，不要顺手改成手动输入——手动输入正是攻击者想要的动作。
四步核验法：把判断变成流程
- 停：不管消息多紧急，先不点链接。把这条消息当成「有问题的」处理，直到证明它没问题。
- 另开：新建标签页，从书签或手动输入官网地址进入，而不是从消息里的链接进入。找不到书签就搜，但要看搜索结果里的域名，别点广告位。
- 对：进到账号设置或订单页，看有没有消息里说的那件事。真实的通知在站内一定能看到；站内没有，消息基本就是假的。
- 验：确有此事再操作；若拿不准，用官网公布的客服电话或站内工单核实，不要回拨消息里给的号码。
这套流程的价值在于：它把「我有没有看错」变成「我从哪个入口进的」。入口对了，页面是假的也拿不到你的密码。
邮件和短信里的链接怎么处理
链接本身可以伪装：显示的文字是一回事，实际指向是另一回事。手机上尤其容易中招，因为地址栏只显示开头一段。几个实用的检查点：
- 发件人显示名可以随便填：显示「XX 官方客服」不代表真从那儿发出。展开详情看实际地址，注意
@后面那段。 - 看回复地址：回复地址和发件地址不一致，是批量钓鱼的典型特征。
- 警惕短链和二维码：
t.cn、bit.ly之类看不到终点；邮件里让你扫码登录的，风险同理。 - 附件比链接更危险：可执行文件、压缩包里的脚本、需要「启用宏」的文档，一律不打开。
如果必须确认链接指向，桌面端可以长按/悬停看状态栏，或用「复制链接地址」粘贴到文本编辑器里看。手机上更稳的做法是根本不点，直接按上面第三步从书签进站内核对。
登录页上的行为异常，比视觉更像铁证
仿冒站能把界面做得几乎一致，但很难把交互做全。遇到下面这些情况，直接关掉：
- 要求输入短信验证码之外的「完整备用码」，或要求你输入验证器种子。正规平台不会在登录流程里要这些。
- 在你已经登录的状态下，突然要求重新输入完整卡号和 CVV 来「验证身份」。
- 页面上的链接点了没反应，或所有链接都指向同一个地址（说明只是个静态壳）。
- 地址栏没有锁标却让你输密码；或者有锁标但域名和官网差一两个字符。
- 提交后页面卡住或跳回首页，而不是进入正常的二次验证流程。
中招之后的两小时
如果你已经在可疑页面输入了密码，时间很关键，但不必恐慌。按顺序做：
- 立刻在官方网站（自己输入地址进去）改密码，不要从刚才那个页面操作。
- 踢掉所有已登录会话，检查登录设备列表。
- 如果输过验证码，攻击者可能已经用它登录了——马上检查账号的转发规则、恢复邮箱、授权应用。
- 如果输过卡号，联系发卡行冻结或换卡，并检查小额免密支付。
- 给账号补上两步验证，优先用不依赖短信的方式。
完整版的处理顺序见密码泄露了怎么办，那篇按「能重置谁」排了优先级，照着做不会漏。
把习惯变成默认设置
- 把常用网站做成书签，放在同一个书签栏位置，减少「搜索—点错」的机会。
- 开启密码管理器的自动填充，并把「填不出来」当作停下来检查的理由。
- 能开通行密钥或硬件密钥的账号优先开，它们对钓鱼免疫——原理见两步验证怎么开启。
- 给邮箱加一条规则：涉及付款、改密的通知，一律从站内核对。
- 定期清理不用的账号和订阅，减少「收到陌生通知」的噪声，思路见不用的账号要不要注销。
三十秒自查
- 这个页面是我自己打开的，还是点链接进来的？
- 域名从右往左读，最后两段是什么？
- 密码管理器自动填充了吗？没填我先停下来。
- 它在向我要验证码、备用码还是卡片信息？
- 有倒计时或封号威胁吗？
- 能不能从站内通知里找到同一件事？
六个问题里有两个答不上来，就别在这个页面输任何东西。真遇到涉及资金损失的情况，及时报警并保留截图，必要时咨询专业人士。