判断一个链接是不是钓鱼链接，不能只看页面像不像官网，也不能因为地址栏出现“HTTPS”就直接认定安全。更可靠的做法是核对实际访问的域名、跳转后的最终地址，以及来源是否能通过独立渠道确认。其中任何一个线索都只能提供证据，不能把“看起来可疑”当成已经证实，也不能把“页面做得很像”当成官方身份。

第一步：先看链接真正指向哪个域名

不要只看消息中的链接文字。例如，文字写着“进入某银行官网”，实际链接可能指向完全不同的网站。电脑端可以将鼠标悬停在链接上查看目标地址，手机端可在不直接打开页面的情况下长按或复制链接，再重点检查域名部分。

1. 区分品牌名称和注册主体域名。域名从右向左阅读，通常要找到真正的注册主体。例如，login.example.com的主体通常是 example.com；而login.example.com.attacker.net的主体是 attacker.net，并不是 example.com。域名后面的路径、参数和页面标题，不能改变网站的实际归属。

2. 留意拼写变化和同形字符。钓鱼链接常见的伪装包括少一个字母、多一个连字符、替换相近字符，或使用看起来像中文、拉丁字母的特殊字符。出现 xn-- 开头的编码域名、过长且难以阅读的地址，并不一定代表恶意，但应暂停登录并进一步核验。

3. 警惕特殊格式。像 [email protected] 这样的地址，真正连接的通常是 attacker.net；带有陌生 IP 地址、异常端口、连续多层跳转参数的链接，也需要提高警惕。短链接本身不等于钓鱼链接，正规活动也可能使用短链，但在看清最终域名前，不应输入账号、密码或支付信息。

如果链接已经打开，先看浏览器地址栏中的最终域名，而不是页面上显示的公司名称、Logo或标题。经过跳转后域名发生变化，尤其是从熟悉品牌跳到陌生域名时，应停止后续操作。需要注意的是，地址栏中的域名匹配只能说明访问对象一致，仍要与官方来源进行交叉确认。

第二步：不要用原链接证明它自己是真的

钓鱼页面可能会放置“官方认证”“安全检测通过”等图片，甚至伪造客服、银行或电商的说明。点击消息中的“联系客服”或“重新验证账户”，并不能独立证明消息来源。更可靠的方式是离开这条消息，通过已保存的官方书签、官方应用，或手动输入自己确认过的官网地址进入账户，再查看是否真的存在通知。

• 核对发送渠道：邮件显示名称、短信签名和社交平台昵称都可能被伪造或冒用，账号本身也可能被盗。发件地址的域名只能作为辅助线索，不能单独作为身份结论。
• 核对官方通知：如果消息声称来自银行、快递、支付平台或企业，应在对应的官方应用、账户通知中心或官网中寻找同一事项。独立渠道能确认，证据强度通常高于原消息中的按钮和电话号码。
• 不要把搜索排名当认证：搜索结果、广告位置、页面评价和醒目的“官方”字样都不能直接证明身份。应从可信来源找到官方域名，再与待核验链接逐字符比较。

第三步：把 HTTPS、页面外观和证书放在正确位置

HTTPS表示浏览器与该域名之间的连接经过加密，证书通常能证明连接的是对应域名，但普通网站也可以申请有效证书。因此，地址栏有锁形图标或使用 HTTPS，不等于背后的公司就是你以为的那家机构。证书信息可以作为辅助证据，不能替代域名和来源核验。

页面制作得很像官网同样不能作为定论。钓鱼页面可能复制Logo、配色、登录框和客服话术，真正网站也可能使用第三方支付页、内容分发域名或旧版界面。拼写错误、图片模糊、排版粗糙是可疑信号，但页面精致只能说明仿制得更好，不能说明它是真的。

以下内容组合出现时，风险会明显升高：消息制造“账号即将停用”的紧迫感；要求绕过正常流程重新登录；索要密码、短信验证码、银行卡信息、支付密码或数字资产助记词；要求下载不明文件、安装远程控制软件，或先付款才能解锁账户。单个现象仍不等于已经确认，但此时不应继续在原页面操作，应改用独立渠道核对。

一份可直接使用的真假核验清单

1. 看实际链接：确认域名主体是否与官方域名完全一致，排除子域名伪装、拼写替换、同形字符和“@”格式误导。
2. 看最终地址：确认是否发生跳转，短链接、二维码和多层重定向是否能追溯到可信的官方域名。
3. 看来源：不要仅凭发件人名称、头像、短信签名或页面Logo认定身份。
4. 做独立确认：通过官方应用、已知书签、手动输入的官网或公开的官方联系方式核对同一通知。
5. 看索取内容：凡是要求提交密码、验证码、支付资料或安装软件的页面，都要在身份确认前停止输入。
6. 记录证据：保留原消息、完整链接、跳转后的域名和页面截图，便于向平台、机构或安全服务报告。

怎样区分“已确认”和“只是可疑”

如果最终域名与官方公布的域名不一致，页面却仿冒官方登录或付款流程，那么可以认为钓鱼风险极高；如果官方应用或客服明确表示没有发送该通知，来源也可以进一步判定为冒用。相反，域名注册时间较新、页面语言不自然、使用短链接或没有明显Logo，只能说明需要核查，不能单独证明网站恶意。

当现有证据不足时，最准确的结论是“暂时无法确认，不应在该链接中登录或提交资料”，而不是武断地说它一定安全或一定是钓鱼网站。真正的身份核实，应建立在地址匹配和独立来源确认之上。

如果已经点开或输入过信息

只是打开页面、没有下载文件或输入资料，通常可以直接关闭页面，并删除消息。若已经输入账号密码，应立即通过官方应用或手动输入的官网修改密码，退出其他设备会话，并启用多因素验证。若提交过银行卡、支付信息或验证码，应尽快联系相关机构处理；如果下载并运行了不明程序，则应停止继续操作，使用可信的安全工具检查设备。后续处理时不要再使用原消息中的客服号码或链接。