去年双十一，何辨我朋友在“京东优惠券”网站上抢到一张千元神券，别网付款时跳转到一个和京东长得一模一样的站的真伪页面。她输完卡号、何辨密码、别网验证码，站的真伪卡里八千块瞬间清零。何辨事后才发现，别网那个页面域名是站的真伪 jd-vip.top，而真京东是何辨 jd.com。她不是别网粗心，是站的真伪对方做得太像了。

辨别网站真伪，何辨第一眼看域名，别网别只看页面。站的真伪钓鱼网站最爱用“相似域名”——把l换成1，把o换成0，或者在主域名后面加个-vip、-official。比如真淘宝是 taobao.com，假货可能叫 taobao.com.cn（这其实是另一个合法后缀，但很多骗子用taobao-shop.com这种）。把鼠标悬停在链接上，看浏览器左下角弹出的实际地址，别急着点。

再说HTTPS。很多人以为有把锁就是安全的，错。钓鱼网站现在也搞SSL证书，免费的，一天就能申请一个。所以“锁头”只能说明数据传输加密了，不代表网站是真的。真正的关键在证书颁发机构——点一下锁头，看证书是不是由常见机构（如DigiCert、GlobalSign）签发，如果显示“自签名”或“未知机构”，直接关掉。这招能挡掉八成低端仿冒站。

还有个技巧，看页面细节的“脏乱差”程度。仿站通常用爬虫抓取原站代码，但图片路径、CSS样式经常搞不全。你多刷新几次，或者点几个深层链接，真站不会出错，假站会出现排版崩坏、图片不加载、点“关于我们”跳到空白页。我上次遇到一个冒充银行登录页的，首页完美，点“忘记密码”直接404——因为骗子懒得做那个子页面。

最实用的土办法：用搜索引擎反查。复制网站域名，加上“骗子”或“诈骗”在百度/谷歌里搜。如果这个域名被举报过，通常能搜到受害者帖。反过来，真网站域名搜出来全是官方新闻和媒体报道。这招对国内小网站特别管用，因为骗子换个域名成本极低，但受害人发帖骂人的记录删不掉。

别忽略“联系页面”的含金量。正规网站一定有完整的联系方式：公司地址、固定电话（座机，不是手机号）、ICP备案号。去工信部备案系统查那个备案号，看主体名称和网站内容是否对得上。比如一个卖化妆品的网站，备案主体是“某某网络科技公司”，那大概率是野鸡站——正经品牌会用自己的公司名备案。骗子根本不敢留真实地址，你看到只有在线客服框、没有电话和邮件的，直接走人。

最后一条，别信“安全检测工具”的绿色标识。那些第三方“网站安全认证”图标，骗子花几十块钱就能买一个贴上去。真要说权威，就看浏览器地址栏有没有显示公司名称（EV证书），这玩意儿要提供营业执照、打审核电话才能拿到，骗子办不下来。国内普通用户能碰到的网站，九成以上不需要EV证书，所以凡是让你输密码、输验证码的页面，没有EV证书反而正常——但如果有，那基本能确定是真的。

说到底，辨别真伪靠的不是技术，是习惯。每次输入敏感信息前，强迫自己花十秒钟做三件事：看一眼域名拼写，点一下锁头看证书机构，搜一下“域名+骗子”。这十秒钟，能保住你卡里的钱。