网站域名安全④域名被盗路径之钓鱼陷阱

网站域名安全④域名被盗路径之钓鱼陷阱

上一篇③ 社工讲了攻人，这一篇把社工最常用的载体——钓鱼，拆开看。

钓鱼是社工的刀

域名被盗路径之钓鱼陷阱。社工是思路，钓鱼是工具：一封以假乱真的邮件，把你引到仿冒登录页，输入的那一刻账号密码就进了骗子库。对域名管理者来说，钓上来的若是注册邮箱或注册商账号，整片域名就悬了。

三类钓鱼

仿冒登录页：域名长得像、页面一模一样，专钓密码；伪造到期通知：「你的域名明天失效，点此续费」逼你慌乱付款又泄密；凭证中转：假 SSO 页同时套走邮箱和注册商账密。它们都靠「像真的」骗过眼睛（呼应① 邮箱失守的取密目标）。

两道防线

第一道是习惯：只从收藏夹或手输官方域名登录，绝不点邮件里的登录链接；收到到期函，自己去后台看，不信邮件说辞。第二道是硬件：用 U2F/硬件密钥做 2FA（见⑧ 二次验证），即便密码被钓走，没有物理密钥也登不进。钓鱼防不住完美的假页，但防得住「懒得手输网址」的人。

顺手开 DMARC

除了不点链接，技术侧还能给邮箱加一道：开启 DMARC、DKIM、SPF，让伪造发件人直接进垃圾箱，钓鱼邮件更难以假乱真。企业域尤其该配，既能防自己被冒充，也降低员工误点概率。这是花十分钟、长期受益的底层防护，和 2FA 是同一思路。

举报形成闭环

收到钓鱼邮件别只看一眼删掉，顺手点「举报钓鱼」让邮箱服务商积累样本，能帮整片用户提早发现新攻击。企业内更该建一个上报通道：谁收到可疑邮件，一键转发安全组，安全组判断是否定向预警全员。把个体的警惕变成群体的免疫，钓鱼的命中率就会被压下去，攻击者转而去找更好捏的软柿子。

给浏览器加护栏

除了人脑警惕，还能用工具护栏：部署企业级安全浏览策略或反钓鱼插件，对可疑域名自动拦截并提示。个人用户也可启用浏览器的钓鱼防护与密码泄漏提醒。多层防护下，即便有人一时手滑点了链接，工具也能在输入凭据前拦一道。技术护栏不替代意识，但是意识的保险丝。

反钓鱼清单

• □ 只从收藏夹/手输官方域名登录。
• □ 到期与否自己进后台核实。
• □ 2FA 优先硬件密钥，抗钓鱼。
• □ 邮件带链接一律当可疑处理。

下一篇⑤ DNS劫持从「人」转到「解析」，讲域名被改道怎么发生。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。