别被相似域名骗了 - 91官网 - 安全提示这件事 | 我把过程完整复盘了一遍。别再用老方法了
前言
我曾经也被一个“看起来差不多”的域名骗过一次。那次差点把账号信息、银行卡验证都交了出去。经过一次完整的排查、封堵和恢复流程，我把每一步都复盘出来，目的只有一个：把那些看起来“长得差不多”的陷阱拆开来，让你下次不再被骗。
我这次复盘的对象是跟“91官网”相关的相似域名陷阱，但方法适用于任何品牌或常用网站的域名钓鱼场景。下面是完整流程、识别技巧和防护策略，直接可用，节省你试错的时间。
一、我是怎么被钓上的（完整时间线）
- 第一步：收到一条短信/私信，内容看起来像官网发来的通知，带有紧急感和跳转链接。
- 第二步：点开链接后页面外观和logo都很像官网，地址栏显示了HTTPS和一个“看起来正常”的域名（细看才发现是子域名或微小字符替换）。
- 第三步：页面要求登录或填写验证码/银行卡信息，我因为着急而准备输入。
- 第四步：最后一刻我发现一些细节不对——logo分辨率怪异、客服电话不对、页面跳转到另一个域名——于是暂停操作并开始调查。
- 第五步：用工具核验域名、证书、WHOIS信息，联系官方客服确认后采取了撤销密码和开启多因素认证的措施。
从这次经历里，我总结了许多可复制的检查点和防护动作，下面着重列出来。
二、常见的相似域名钓鱼手法（必须会识别）
- 同形替换（homoglyphs）：把字母换成看起来一样的字符，比如拉丁字母替换成外形相似的希腊字母或阿拉伯字符，Punycode（xn--）常见。
- 子域名误导：example.com.official-91.com 或 91.officialsite.com 看起来像“91”相关，其实是在别人的域名下。
- 微小拼写错误：少或多一个字母、连字符、点的位置不同等。
- 仿冒SSL证书：有HTTPS和锁图标并不等于安全，攻击者也能申请有效证书。
- 仿真UI/图标：把logo、字体、配色都抄得很像，但某些细节或文字错字能暴露问题。
- 重定向链条：先跳转到一个看起来正常的页面，再自动跳到恶意站点，增加困惑。
三、打开链接后第一时间要做的快速检查（花1分钟也值得）
- 看域名结构：域名从右到左看才是重要的。真正的主域名在最右侧（例如：official-91.com中的主域是official-91.com，而非91）。
- 长按或悬停查看真实链接（手机长按查看目标链接，电脑悬停显示状态栏）。
- 查看证书详情：点锁图标查看证书颁发给谁、颁发机构、有效期（虽然证书合法不代表站点可信，但能提示异常）。
- 检查URL是否有xn--前缀（Punycode），如果有小心同形字符攻击。
- 对照已保存的官网书签或直接手动输入官网地址，而不是通过来路不明的链接跳转。
- 控制台看网络请求（适合有技术基础的用户）：查看是否把数据提交到第三方域名。
四、深入核验（若怀疑，可做这些）
- Whois查询：检查注册时间、注册者、注册邮箱和隐私保护情况。新注册或隐私保护并不一定就是恶意，但配合其他迹象可判断风险。
- SSL证书链与CT日志：通过crt.sh、Certificate Transparency查看证书历史。
- VirusTotal / URLScan：快速检测是否被报告为恶意、页面截图、行为分析。
- DNS反查：看A记录、NS记录是否指向可疑服务器或托管商，是否与官网不一致。
- 页面资源比对：下载官网页面与当前页面做差异比对（图片、JS文件、API域名等）。
- 查看页面文本质量：钓鱼页面往往有翻译不良、错别字、描述不清等。
五、如果不小心提交了信息，立刻这样做
- 立即修改官网账号密码，并在其它使用相同密码的网站同步修改。
- 立即开启/强制重置所有重要账户的二次验证（2FA），首选手机验证或更安全的物理密钥（U2F）。
- 如果提交了银行卡或信用卡信息，立即联系银行或支付机构，申请交易监控或冻结卡片。
- 检查账号近期登录活动，撤销多余设备的登录授权。
- 保存证据（截图、链接、邮件头信息），用于报案或向平台举报。
- 向官网客服和平台（如Google、苹果）报告该钓鱼域名，促使封禁。
- 如果涉及重要身份信息或可能导致财产风险，考虑报警或向相关监管机构申诉。
六、防护清单（长期习惯，降低风险）
- 不通过陌生链接登录重要服务，优先使用书签或手动输入URL。
- 使用密码管理器：只会对真正的域名自动填充密码，防止在伪造站点输入真实密码。
- 开启多因素认证：尽量使用FIDO/WebAuthn物理密钥或认证器类软件。
- 对重要账号启用登录通知：这样一旦有新设备登录能即时知道。
- 保持浏览器和系统更新，避免已知安全漏洞被利用。
- 为常用站点设置强、独特密码，并定期检查密码泄露（例如Have I Been Pwned）。
- 对公司或团队，建立域名监测和品牌监控（例如监测相似域名的注册信息）。
- 在移动设备上禁用自动处理未知来源的链接，不安装非官方应用。
七、如何举报与让对方下线（实操）
- 向域名注册商提交滥用/钓鱼投诉（WHOIS里有Registrar信息）。
- 向托管服务商或CDN提供商举报（根据IP或主机头可找到）。
- 向Google Safe Browsing和浏览器厂商举报钓鱼URL。
- 向社交平台/短信服务商举报传播来源，要求屏蔽。
- 向国家或地区的网络安全监管部门或互联网举报中心投诉。
- 将证据整理清楚（截图、原始链接、邮件/短信头、时间线），提高处理效率。
八、如何教育团队或家人（简单好用的培训要点）
- 讲“先看域名，再看页面”的简单原则，示范真实例子。
- 演示密码管理器如何自动填充，从而说明不要在非自动填充的页面输入密码。
- 教会家人长按查看链接、识别短信/邮件头信息的来源地址。
- 设置模拟钓鱼测试（企业场景）并把失败案例作为教学材料。
结语 + 我的承诺
相似域名钓鱼不是高级黑客的专利，很多时候是利用人的粗心和急躁。把上面的检查点变成习惯，能把大多数常见钓鱼攻击挡在门外。基于我的亲身复盘与实践，这套流程兼顾速度和深度，既能在一两分钟内做出初判，也能在怀疑时做更深入的取证。
