上周我朋友差点在一个“银行官网”上填了卡号。判断页面做得跟真的个网一模一样，logo、站的真假客服电话、判断甚至SSL证书都有。个网唯一露馅的站的真假地方是——网址栏里写的是 icbc-chn.com，而真正的判断工行域名是 icbc.com.cn。差一个字母，个网钱就可能没了。站的真假

判断网站真假，判断第一眼永远看地址栏。个网别管页面多精致，站的真假先看域名。判断正规机构的个网域名通常短、干净，站的真假而且不会用连字符堆砌关键词。比如 taobao.com 是真的，taobao-sale.com 基本是假的。有个小技巧：把域名从右往左读。真正的顶级域名在最后，比如 .com、.cn、.gov.cn。如果看到 paypal.com.security-update.xyz，别犹豫，关掉。那个 xyz 才是真正的域名，前面全是伪装。

https 和那个小锁图标？早就不代表安全了。现在申请免费证书只要几分钟，骗子也买得起。锁只能说明数据传输是加密的，不能说明对面是谁。我见过一个钓鱼站，证书信息里写着“Let's Encrypt”，公司名一栏空白。真正的银行网站，点开锁能看到机构名称和地址。空白或者乱码的，直接走人。

页面内容里藏着很多破绽。真网站不会弹窗让你“立即验证账户否则冻结”。真客服不会问你要密码或者短信验证码。有次我点进一个假苹果页面，顶部导航栏的字体居然用了宋体——苹果官网从来不用宋体。还有一次，假亚马逊的“关于我们”页面里，公司地址写的是“美国加州某街道”，但电话号码是+44开头的英国号。这种细节对不上，基本可以判死刑。

查备案和WHOIS信息。国内网站底部一般有ICP备案号，去工信部官网一查便知。假网站要么没备案，要么备案号是偷来的。WHOIS能看域名注册时间。一个“中国银行”的网站，域名注册于三个月前，注册人还隐藏了信息——这不合常理。真银行不会用新域名。

还有个笨办法但很管用：直接输入你已知的官网地址，别点搜索引擎的广告。很多假网站靠买竞价排名混在结果里。我习惯把常用网站存书签，从不搜。另外，装个靠谱的安全插件，比如WOT或者Netcraft，它们会给域名打分。红色警告的，别点。

最后说个真实案例。去年有个假“12306”网站，页面和真的一模一样，但购票时跳转到一个叫“安全支付”的页面，要求输入银行卡密码。真12306只会跳转到银行自己的页面。记住：任何让你在非银行页面输入卡密码的，都是假的。这条规则能挡掉九成钓鱼站。

别嫌麻烦。花十秒看域名，比丢几千块强。