反差大赛点开页面时别凭感觉：防钓鱼提示我给你一个经验总结
每次点开一个看起来“正常”的页面，实际上可能是在和钓鱼陷阱擦肩而过。下面是我多年实战里总结出来、能直接用的核查清单和应对步骤——读完能在30秒内判断页面可不可靠，遇到问题也知道下一步怎么处理。
速查清单（30秒判断）
- 看域名：主域名要完全匹配；注意子域名和拼写替换（1 → l、O → 0、punycode）。
- 悬停链接：鼠标悬停或长按预览真实链接，不要点开就输密码。
- HTTPS不是万能：有锁不代表可信，点证书查看颁发机构和有效期。
- 来源邮件小心：发件人显示名和实际发信地址要一致；带紧急/奖励信息的链接先不要信。
- 自动填充检验：密码管理器不会在假域上自动填充，利用这一点识别钓鱼。
- 下载别随便点：exe、zip、msi优先跳过，先上传到病毒扫描服务再打开。
详细判断与操作技巧 1) 域名识别法 钓鱼常用手法：子域名欺骗（login.example.com.attacker.com）、相似字符替换、二级域名差异。正确做法：把域名完整复制到文本里，逐字对比主域名；在移动端长按链接查看真实域名。
2) 链接与证书
- 悬停或复制链接到地址栏再访问。不要通过邮件、社交私信或二维码直接跳转敏感账户登录页。
- 点击锁图标查看证书颁发者；自签名或证书过期的网站慎入。
3) 邮件与短信的识别
- 不要根据显示名判断发件人；打开邮件头查看Return-Path或发信域。
- 任何索要验证码、密码或转账的请求都当“可疑”处理，遇到紧急转账请求先电话核实。
4) 自动填充与密码管理器 密码管理器是强力工具：它只会在匹配域名上填充账号密码。若发现页面要求输入而密码管理器不自动填，极可能是假站。
5) 下载与脚本 关闭自动下载与自动运行；遇到安装包先在VirusTotal等站点扫描；对来源不明的脚本、宏和安装程序保持零信任。
6) 手机端特别注意 移动浏览器常隐藏完整URL，长按链接预览或复制地址到记事本查看；应用内网页（WebView）也可能被套壳，优先用系统浏览器打开关键链接。
点击后怀疑被钓鱼——立即行动
- 断开网络（临时阻断可减少信息继续泄露）。
- 立即修改相关账号密码，优先修改已经在页面输入的账号。
- 撤销可疑会话和授权（如OAuth授权、第三方应用访问）。
- 开启并强制使用双因素认证（2FA）。
- 如果泄露了支付信息，联系银行冻结或监控交易。
- 把可疑样本（邮件、截图、URL）提交给安全团队或相关平台举报。
面向企业/团队的防护建议
- 部署DMARC、SPF、DKIM减少仿冒邮件。
- 强制使用密码管理器与多因素认证。
- 定期组织钓鱼演练，提高员工识别能力。
- 建立简单明确的报告流程，鼓励快速上报可疑事件。