钓鱼利用什么？
攻击者借邮件、短信或其他消息诱导点击、提交秘密、打开文件或执行操作，常把请求伪装成可信来源。[1]
061 / 社会工程 / Phishing
看起来很熟，就值得相信吗？
网络钓鱼 · Phishing
一封“账户即将停用”的消息，要求马上验证密码。不要只找错别字。检查发件身份、真实目标和请求内容，再选择安全的核实方式。
开始探索 ↓6–9 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
画面中的包裹通知和带锁页面是诱饵，钓线揭示了凭据流向。真实攻击者通常不会显露在画面里。
展开读图提示
读图提示
- 角色与机制
- 包裹网页是诱饵，鱼钩和网兜比喻伪装成可信服务来套取凭据。
- 风险在哪里
- 熟悉的标志、快递通知和地址栏的锁形图案都不能证明网站可信，用户可能把密码交给仿冒页面。
- 防护与边界
- 从收藏或官方应用独立打开服务，核对域名，并使用抗钓鱼认证；不要顺着催促消息里的链接提交凭据。
本课任务 / 网络钓鱼
让可疑线索引导核实，而不是把单个信号当成最终证明。
- 分开发件显示名与实际地址
- 读取域名和链接目标
- 选择独立渠道核实并报告
亲手探索 / 不同条件，不同结果
打开线索，但不打开可疑链接。
检查一封完全虚构的消息。勾选值得核实的证据，再决定下一步。地址只作文本展示，不会打开外部网站或收集凭据。
可疑邮件核查台
先看证据，再决定从哪里核实
已知服务域名是 portal.example。检查这封训练邮件，勾选你会采用的判断，再选择下一步。
请在 30 分钟内核验，否则账户将被冻结
小珊，你的账单资料需要更新。请通过下方入口重新登录以保留账户。
前往 portal.example 核验（演示文字，不可跳转）展开完整发件人和链接目标
- 完整发件人
账户服务 <notice@billing-alert.test>- 实际链接目标
https://portal.example.attacker.test/account/verify- 实际主机名
portal.example.attacker.test
无需打开网页即可检查此演示目标；现实中还要警惕跳转、短链接以及被盗的真实邮箱。
尚未运行。先调整实验条件，再查看结果；这里不会连接真实系统。
再试一次：即便发件地址看起来正确、文字完全流畅，你仍可以用什么独立通道核实？
FTC：识别钓鱼与独立核实（新窗口）随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
显示名不等于发送身份
“IT 支持”只是可设置的名字。查看完整发送地址与回复地址，但也不要只凭熟人地址放行：合法账户本身可能已被接管。[2][1]
02 / 实用细节
看真正的目标域名
链接文字和跳转目标可以不同。区分主机名、子域名与路径，不把路径中的品牌名当成域名归属；缩短链接和重定向还会增加不确定性。[2]
03 / 实用细节
核实操作，而不只核实外观
即使邮件格式、姓名和项目都很准确，付款、安装程序、授权应用、提供验证码等请求仍需符合既定流程。攻击者可能利用公开或窃取的上下文。[1]
04 / 实用细节
HTTPS 保护连接，不背书内容
仿冒网站也能使用 HTTPS。要确认的是你原本要访问的官方入口，而不是仅确认当前这个域名有一张有效证书。[3]
05 / 实用细节
抗钓鱼认证减少凭据滥用
采用绑定服务身份的抗钓鱼认证可降低凭据被转用的风险。它并不阻止所有恶意文件、诈骗付款、危险授权或已被盗会话。[4]
06 / 实用细节
已经交出信息怎么办？
尽快通过官方入口和组织流程报告，说明已进行的动作。若输入了凭据，按事件响应指引更新受影响凭据、检查会话与异常操作，不在原消息中继续处理。[2]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
短信链接有 HTTPS 锁图标，能证明是真网站吗？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- MITRE ATT&CK · T1566 Phishing ↗
钓鱼渠道、目标与手法
- FTC · How to Recognize and Avoid Phishing Scams ↗
识别、独立核实与报告
- OWASP · Transport Layer Security ↗
连接保护与站点可信度
- NIST SP 800-63B-4 · Phishing Resistance ↗
抗钓鱼认证的服务绑定
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。