收到可疑链接，怎么判断是不是钓鱼网站

钓鱼网站并不神秘。它做的事只有一件：伪装成你信任的网站，骗你输入账号、密码、验证码或银行卡号。技术门槛低到什么程度？网上有现成的钓鱼模板，几十块钱就能租一套，连服务器带后台。所以问题不在于骗子多高明，而在于我们收到链接时，有没有花几秒钟做基本检查。

第一个要看的，是域名。这是最硬的线索，也最容易被忽略。钓鱼站常用两种手法：一是拼写近似，比如把“taobao”写成“taobao.com”里的某个字母替换成数字或形近字母，像“ta0bao”；二是在正规域名前后加词，比如“taobao.com.cn.login-verify.xyz”，真正的主域名是最后那个“xyz”之前的部分。看域名时，从右往左读，找到第一个斜杠前最后两个点之间的词，那才是网站真正归属。如果那里不是你熟悉的品牌名，直接关掉。

第二个线索是HTTPS锁标志。很多人以为有锁就是安全的，这个理解不完整。锁只说明你和这个服务器之间的传输是加密的，不说明服务器是谁开的。钓鱼站同样可以申请免费证书，浏览器照样显示锁。但要注意一个细节：点开锁标志，看证书颁发给谁。如果域名是“login-bank-secure.com”，证书也是颁给这个域名，它仍然是假的。锁不是信任凭证，只是加密凭证。反过来，正规银行官网如果证书信息和你访问的域名对不上，那才真有问题。

第三个方法，看页面本身有没有“赶工痕迹”。钓鱼站往往只复制了登录页，其他链接点不动，或者点“忘记密码”“注册”都跳回同一页。页面里的错别字、排版错位、图片模糊，也是常见信号。更隐蔽的是，有些钓鱼站会先跳转一次正规官网，再弹窗要求重新登录，让你以为刚才的跳转是正常的。遇到这种“二次登录”弹窗，不要直接输入，先手动打开官网App或输入网址确认。

第四个判断点，是它对输入的反应。正规网站在你输入账号密码后，通常会有加载、跳转或提示。钓鱼站往往在你点“登录”后，要么直接显示“密码错误”，要么跳到一个空白页，要么反复要求你输入验证码。更危险的是，有些钓鱼站会实时把数据传到后台，你输完的下一秒，骗子就开始尝试登录。所以，如果输完密码后页面反应异常，第一件事不是重试，而是立刻改密码，并检查该账号有没有开启两步验证。

除了看，还可以做主动防御。把常用网站的域名存进书签，下次从书签进，不从短信或邮件里的链接进。短信里的短链接，比如“t.cn/xxx”，可以用展开工具先看真实地址，或者直接在浏览器里长按预览。邮件里的“账户异常”通知，不要点里面的按钮，手动打开App或输入官网地址查看。还有一个简单习惯：任何要求你输入密码的页面，先问自己一句——我是从哪来到这里的？如果是点链接来的，多一分怀疑。

最后说一个常被忽略的场景：二维码。它本质上是把网址藏进一张图里，扫之前看不到目标地址。路边扫码送礼品、群里发的“共享文档”二维码，扫完跳到一个要登录的页面，同样适用上面的判断方法。如果手机系统在扫码后弹出了网址预览，花一秒看一眼域名，不对就退出。钓鱼网站靠的是你放松警惕的那几秒，而识别它，也只需要你认真看几秒。