钓鱼诈骗的识别方法｜假邮件·假网站的确认步骤

钓鱼诈骗得逞的原理

钓鱼诈骗是准备一个和真网站一模一样的登录页面，把人引导过去让其输入信息的手法。它并不是技术上很高深的攻击，决定成败的是文字的写法。它们的共同点是：结构上不给你思考的时间。

• 设定期限：“如 24 小时内未办理手续，将停用您的账户”
• 暗示损失：“检测到异常使用”“包裹将被退回”
• 让手续看起来很简单：“只需通过下方链接确认”
• 文字很短：故意减少你判断的依据
• 使用真实的企业名称：用熟悉的标志和配色消除违和感

反过来说，只要在感到“着急”的那一刻先停下手，大部分都能防住。如果真是重要的通知，从官方应用或书签重新进入，也应该能看到同样的内容。准备好不点邮件或短信里的链接也能确认的途径，是最可靠的对策。

打开邮件·短信时的确认顺序

1. 1

   ① 把发件人的域名看到最后

   显示名称可以随意设置，所以要看的是“@”后面的部分。把真域名放在前半段、挂在别的域名下面，如 amazon.co.jp.example.com，是常见手法。域名基本要从右端读起。

2. 2

   ② 不点击，先确认链接的网址

   电脑上把光标移到链接上就会显示。手机上长按可以预览。这里要看的同样是域名的右端。

3. 3

   ③ 对照自己的情况

   没有订的包裹、没有用过的服务、没有印象的付款。前提对不上的话，就没必要再读下去。

4. 4

   ④ 不点链接，从官方途径确认

   从官方应用或自己的书签打开。如果真的需要办理，那里也会出现同样的通知。

5. 5

   ⑤ 无法判断时，联系官方的咨询窗口

   请拨打官方网站上公布的电话，而不是邮件里写的号码。要按“连联系方式都被伪造了”的前提来行动。

第 5 行是误解特别多的地方。锁形图标（HTTPS）只表示“通信已加密”。假网站也能取得，所以不能证明安全。判断依据是域名本身。

出现登录页面时的确认

即使打开了链接，只要还没输入就不会有损失。出现登录页面时，在输入之前请先确认以下几点。

• 从右端读地址栏里的域名。看的不是子域名，而是末尾两段是否是官方的
• 密码管理应用没有自动填充时，网址很可能和保存的不一样
• 文字不自然、字体或留白和官方网站不同、很多链接点了没反应
• 一次性询问大量个人信息。在同一个页面要求输入密码、卡背面的安全码、银行账号
• 本来只有登录后才会显示的信息，在登录前就显示出来了

还有一种套取两步验证验证码的手法。攻击者把你在假网站输入的账号和密码立刻填进真网站，再让你接着输入收到的验证码。即使页面显示“请输入验证码”，也需要另外确认这个页面是不是真的。

已经输入了信息时的应对

发现的时候就按顺序采取措施。慌忙想同时做完所有事情会有遗漏，请从上往下依次处理。

1. 1

   ① 修改该服务的密码

   不要从假网站，而是从官方应用或书签重新进入后修改。如果已经无法登录，就进入下一步。

2. 2

   ② 同时修改使用相同密码的其他服务

   损失扩大就发生在这里。同样的组合会被拿去尝试登录其他服务，所以凡是想得到的都要修改。

3. 3

   ③ 开启两步验证

   让密码即使泄露也还有一道额外的确认。使用验证器应用的方式比短信更安全。

4. 4

   ④ 输入了银行卡信息时，联系发卡机构

   要求停用并重新发卡。联系方式用卡背面或官方网站上的，不要用邮件里写的号码。

5. 5

   ⑤ 确认登录记录和关联应用

   查看有没有不记得的登录，或者被擅自添加的关联应用·转发设置。邮件的自动转发设置尤其容易被忽略。

6. 6

   ⑥ 必要时寻求帮助

   发生了金钱损失，或者涉及工作单位的账户时，请联系警方的网络犯罪咨询窗口或公司内的信息安全负责人。

重新设置密码时，不要只把以前的稍微改一下。泄露的密码会成为推测的起点。给每个服务分别分配随机生成的字符串，才是可靠的做法。

为下次做好准备的设置

效果最大的是第 1 行。钓鱼诈骗的实际损失，是在被盗的组合被拿去其他服务尝试时扩大的。只要给每个服务分配随机的字符串，损失就会止于那 1 个。用密码生成工具，可以指定长度和字符种类当场生成。

• 从重要程度高的账户（邮箱·支付·社交媒体）开始依次处理
• 邮箱账户最优先。这里被盗的话，会被用来重新设置其他服务
• 不再使用的服务就注销。减少需要管理的对象也是对策之一
• 和家人共用的账户，停止共用，或者改用专门的共享方式

常见问题

有锁形图标就安全吗？

不是。锁形图标只表示通信已加密，并不表示运营者是不是真的。证书任何人都能取得，所以假网站也会显示锁形图标。应该确认的是域名本身，请从右端读起，看它是不是官方的。

只是打开邮件也危险吗？

通常只显示正文并不会马上造成损失。危险的是打开链接并输入信息，以及打开附件。不过加载图片可能会让对方知道你打开了邮件，所以明显的诈骗邮件最好不打开直接删除。

打开了链接，但什么都没输入。

这时信息还没有交出去。关闭页面，无视那个网站发来的通知即可。为了保险起见，从官方应用确认一下该服务的登录记录，看看有没有不记得的登录，会更安心。

输入了密码，应该先做什么？

先从官方应用或书签修改该服务的密码，然后修改所有使用相同密码的其他服务。接着开启两步验证。如果还输入了银行卡信息，请拨打卡背面的电话联系发卡机构。