钓鱼攻击识别指南：不点链接，你几乎不会输

一、拆一封钓鱼邮件#

下面是一封典型的仿冒网盘钓鱼邮件，破绽藏在细节里：

1
发件人: 网盘安全中心 <service@qq-mail-verify.xyz>
2
主题: 【紧急】您的账号将于 2 小时后被冻结
3

4
尊敬的用户：
5
    系统检测到您的账号存在异常登录行为，
6
    请在 2 小时内点击链接完成身份验证，
7
    否则账号将被永久冻结。
8

9
    >> 立即验证 <<  （链接指向 http://x.bank-example.com-login.xyz/...）

至少六处破绽：

1. 发件域名 qq-mail-verify.xyz —— 官方不会用这种杂牌域名；
2. 制造紧迫感 —— “2 小时后冻结”，逼你来不及思考；
3. 称谓泛化 —— “尊敬的用户”，真实服务知道你的名字；
4. 链接与显示不符 —— 显示”立即验证”，实际指向毫无关系的域名；
5. http 而非 https —— 正规登录页几乎全是 https；
6. 要求点链接验证身份 —— 正规流程让你自己打开 App，而不是点邮件里的链接。

二、四步核实法#

收到可疑信息，按这四步走，基本不会中招：

1. 看发件人完整地址，不看显示名——显示名随便填；
2. 鼠标悬停链接看真实 URL（手机长按），核对域名主体——注意 bank-example.com-login.xyz 这种把真域名塞进子域名的把戏；
3. 不点链接，走官方渠道：自己打开 App / 官网，或打官方客服电话；
4. 扫码 = 点链接：二维码扫出来的是网页，同样要先看域名再输入任何东西。

三、手机上的两种高危形态#

仿冒基站短信：显示为”10086""95588”发来的短信，带一条”积分兑换""银行冻结”链接。伪基站可以任意伪造短信发送号，短信号码不可信，链接才见真章。

钓鱼 App / 公众号：图标名字做得和官方一模一样，输入密码后提示”系统繁忙”——密码已经到手。只从官方应用商店下载，安卓尤其当心 apk 直装包。

四、中了钓鱼怎么办#

1. 立即改密码：不只这个网站，所有用相同密码的地方（重用密码是钓鱼的放大器）；
2. 开两步验证：哪怕密码泄露，没有第二因素也登不进来；
3. 检查授权：OAuth 授权过的第三方应用逐一排查撤销；
4. 留证据报警：企业邮箱中招要立刻通知管理员，同事可能是下一个目标。

五、给身边人的三句话#

给父母/同学讲安全，不用讲原理，记住三句：

• 短信/邮件里的链接，一律不点，要办业务自己打开官方 App；
• 任何要密码和验证码的页面，先看域名对不对；
• 验证码是最后一道门，告诉任何人（包括”客服”）都等于把门拆了。

小结#

钓鱼防不住靠技术，靠的是习惯：不点来路不明的链接、认准官方渠道、密码不重用、验证码不外传。攻击者只需要你错一次，而你可以选择每次都对。