“账号即将冻结”“文件等待签收”“请重新验证密码”都可能出现在正常通知里，也可能被用于钓鱼。与其记住某一种文案，不如建立一套每次都能执行的检查顺序。本文使用虚构域名举例，不要求你打开可疑网站来验证。
第一步：从自己熟悉的入口确认
先暂停点击消息里的链接，直接打开自己保存的书签、官方应用或手动输入的已知地址，查看是否确实存在相同通知。Google的防钓鱼帮助也提醒用户不要通过可疑邮件提交个人信息，并提供举报方式。是否措辞流畅、有没有Logo，都不足以证明邮件真实。
第二步：看完整主机名
把下列地址当成文字练习即可，不要访问。account.example.com 中的 account 是 example.com 的子域；example.com.attacker.test 则不属于 example.com。品牌名出现在地址前面，并不代表它控制这个地址。
对于复杂域名、国际化字符或缩短链接，不要仅凭肉眼猜测。返回独立的官方入口核实通常更稳妥。HTTPS小锁说明连接加密，也不等于网站身份值得信任。
第三步：检查它让你交出什么
- 是否要求在陌生页面填写密码、验证码或恢复码？
- 是否要求安装不明扩展、远程控制工具或配置文件？
- 是否用极短期限阻止你与客服或同事核实？
- 是否让你把文件、付款或审批转到突然改变的新地址？
这些特征可以帮助提高警觉，但不能机械地给邮件打“绝对安全”分数。某封消息没有错别字，也没有催促语气，仍然可能是精心制作的钓鱼内容。
如果已经输入了账户信息
从可信设备和独立入口修改相关密码，检查登录会话与恢复方式，按服务商提供的方式撤销可疑会话或授权。若密码在别处重复使用，也要处理关联账户。已经涉及付款或工作资料时，尽快联系相应平台或单位的处理渠道，并保留消息与时间记录。
多因素认证能增加一道保护，但把验证码交给实时钓鱼页面仍可能造成风险。可以结合服务支持情况选择合适的认证方式，并把恢复码保存在受控位置。
资料与延伸阅读
继续阅读：WordPress日常安全清单 · 向AI提供材料时的边界
资料查阅与编辑日期：2026年9月22日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
