虚假网站常仿冒银行、快递、电商、政务服务或熟悉的品牌，诱使访客输入账号密码、短信验证码、银行卡资料，或下载陌生文件。它们可能通过短信、社交平台、广告、邮件和二维码传播。判断风险不能只看屏幕上的标识和排版是否相似，还要核对网址、操作要求、索取的资料，以及能否从独立的官方渠道验证；一旦发现异常，应先停止操作。

先从网址和操作要求判断

打开陌生站点后，先不要登录、付款或下载。查看浏览器地址栏中的完整网址，再留意它要求你采取什么行动。以下迹象值得警惕：

• 域名与品牌不一致：网址可能多出字母、数字或连字符，也可能用相似字符替换品牌名称。阅读域名时，要分清真正的主机名和前面的子域名。例如，login.brand.com.fake-site.test 的主机名结尾是 fake-site.test，并不是 brand.com；网址前半段出现品牌字样，不代表该站点由品牌方运营。
• 网址经过伪装：短网址、二维码或连续跳转可能遮住最终去向；拼写看似接近官方域名，也不能证明它属于官方机构。
• 催促你立刻行动：网页用“账户即将冻结”“包裹无法派送”“限时退款”等话术制造压力，要求马上登录、付款或提交验证码。如果无法通过官方应用或已知联系方式独立核实这项通知，应把它视为风险信号。
• 索取与业务不相称的资料：查询物流却要求银行卡密码，领取优惠却索要短信验证码，或以身份核验为由要求提供完整证件资料，都属于高风险要求。验证码可能用于登录、改密或转账，不要交给网页表单或自称客服的人。
• 流程和细节异常：错别字、模糊标识、失效按钮、跳转后品牌名称变化，或付款收款方与商家名称不一致，都可能提示仿冒或欺诈。单个错字不能单独证明站点有问题；若它同时出现域名异常或索取敏感资料，风险就更高。

用一套简单流程核对网站

1. 确认访问入口。不要直接点击陌生短信、邮件、广告或群聊里的登录链接。办理业务时，优先打开已安装的官方应用、自己保存的书签，或手动输入已知的官方网站地址。
2. 核对完整域名。在电脑上查看浏览器地址栏，在手机上点按地址栏展开完整网址。重点辨认域名末尾及相邻拼写，不要把品牌文字、站点标题或商标图样当成域名归属证明。
3. 核对通知是否对应真实业务。收到缴费、退款、账户异常或包裹通知时，打开相应机构的官方应用，或拨打自己查到的官方电话核实。通知编号、金额、订单状态和办理要求，应能在独立进入的官方渠道中查到对应记录，而不是只出现在可疑链接里。
4. 留意敏感操作前的要求。正规业务也可能需要身份核验，但索取资料必须与办理事项相称。凡是要求提供密码、短信验证码、银行卡安全码，或要求关闭安全设置、远程控制设备的站点，都不要继续操作。
5. 发现异常就退出。关闭可疑标签，不再填写或提交资料；不要为了“验证真伪”继续下载文件、拨打网页上陌生的电话号码，或支付小额费用。

手机与电脑上的检查动作

手机浏览器常会缩短显示网址。点按地址栏展开完整地址后再判断；扫码进入后，也要检查跳转完成时显示的域名。二维码即使贴在熟悉的场所，也不代表它指向安全站点。使用电脑时，可以将鼠标悬停在链接上查看目标地址；这只能帮助发现明显异常，不能代替官方核验。若浏览器弹出证书或安全警告，不要绕过警告继续访问。

地址栏中的 HTTPS 和锁形标志，表示连接采用加密传输；它们不能证明经营者真实，也不能保证网页没有诈骗陷阱。仿冒站点同样可能使用加密连接。因此，应把锁形标志理解为连接状态提示，而不是“站点可信”的结论。

确认风险后如何保护自己

判断时要结合风险信号：域名明显仿冒、索取密码或验证码、要求立即转账，任何一项都足以让你停止操作；若多个异常同时出现，更应改用独立的官方入口核实。反过来，排版精美、站点能正常打开或使用 HTTPS，都不足以单独证明它安全。

如果已经输入密码，尽快通过官方应用或自己确认的网址修改密码；同一密码用于其他服务时，也要分别更换。若提交了银行卡资料或验证码，立即联系发卡机构处理并查看交易记录。下载过可疑文件时，不要继续安装或授予权限；若已经安装，断开不必要的网络连接，并使用设备自带的安全功能检查。

核验时应保护个人隐私：不要把完整身份证号、银行卡号、验证码，或带有个人资料的截图发给陌生客服，也不要安装对方要求的远程控制软件。发现仿冒站点，可通过相关品牌或机构的官方渠道举报；涉及资金损失或账户被盗，应及时联系金融机构及当地有关部门。始终从独立、可信的入口确认对方身份，比在可疑网页上寻找“官方认证”标志更可靠。