一、点击前怎么识别钓鱼邮件和陌生链接
钓鱼邮件最擅长伪装成你熟悉的东西：系统升级通知、工资补贴确认单、会议日程更新，标题常带"紧急""请立即处理"等字眼。人在紧迫感下理性判断力会明显下降，所以第一条原则很简单：制造紧迫感的邮件，先放一放。
1、看发件人完整地址，不看显示名称。
显示名称可以随便写，真正有信息量的是@后面的域名。把"m"换成"rn"、把"l"换成"1"，或加一个不起眼的标点，假地址乍看和真地址几乎没有区别。正规机构邮箱域名统一规范，钓鱼邮件常混用公共邮箱或形近域名。把鼠标悬停在发件人名称上，或展开邮件头信息，看完整地址最后两段，比凭印象判断可靠得多。
2、看链接"斜线前最后一段"，不看链接文字。
邮件里写着"点击查看"的链接，文字和实际指向是两回事。电脑端把鼠标悬停在链接上、不点击，浏览器状态栏会显示真实地址；手机端长按链接，通常会弹出完整URL预览。显示"查看账单"却跳到乱码域名、纯IP地址或非官网路径，基本可疑。真官网手动输入比点邮件链更稳。
3、短链接先展开再判断。
bit.ly、t.co这类缩短服务把目的地完全遮住，攻击者很喜欢用。来源不可信时不要直接点，用链接展开服务还原真实目标，或干脆绕开邮件，手动在浏览器输入已知官方地址。
4、谨慎对待未主动索要的附件。
.exe、.scr、.bat、带宏的doc、解压后出可执行文件的.zip都属于高危附件，即便文件名看着像发票、合同，没有提前沟通确认都不要下载打开。发票类邮件宁可去开票平台后台查，也不点附件。
5、话术越急越要停，称呼排版也露马脚。
钓鱼件爱用"24小时不验证就封号""发票逾期作废""补贴马上到账"制造慌乱，正规机构很少通过邮件索要密码、验证码、银行卡信息。通称"尊敬的用户""亲"、logo发虚、排版错位、中英文机翻混排，都是信号。现在AI写得顺，但"要你交敏感信息"这一点没变。
还有一个需要纠正的惯性认知：地址栏里的小锁图标不代表安全。HTTPS和挂锁只说明连接是加密的，不说明对面是谁。目前大约八成钓鱼站点本身就在用HTTPS，正是因为太多人被教过"看有没有小锁"。
二、点了之后到底会发生什么
很多人以为"点了链接就完了"。实际情况更接近这样：点击把用户带到攻击者控制的页面，这一步主要泄露的是"这个链接有效、有人打开了"以及浏览器类型、粗略位置等信息，真正的损失通常发生在点击之后的动作上。
1、只打开页面、没输入没下载。
现代设备补丁齐全时，单纯渲染页面未必中招，但风险不是零：页面可能跑脚本、读指纹、试探登录态、做CSRF伪造请求。别以为"没填东西就没事"，先关页、清缓存、看账号异常。
2、在仿冒页输入账号密码或验证码。
这是最典型的翻车：凭据直接交到对方手里，可能几小时到几周后拿来登录邮箱、支付、社交账号，验证码同理，给过一次就等于交钥匙。更麻烦的是，现代攻击链并不满足于静态密码，中间人代理可以实时拦截认证流程，把多因素认证的验证码或令牌一并截获，再用窃取的会话Cookie冒充已登录用户，传统短信验证码和动态口令在这种场景下可能形同虚设。
3、下载并运行了附件或安装包。
风险从"信息暴露"升级为"设备被控"，可能落木马、远控、键盘记录、勒索程序。表现不一定是蓝屏，可能是静默的：浏览器主页被改、弹窗变多、电量掉得快、文件被加密。
4、已登录态被利用。
你正登着网银点恶意链接，脚本可能借你的会话发起转账或改绑定，这种不用密码也能作恶，所以敏感操作别在"刚点完陌生链"的浏览器里继续做。如果链接利用的是浏览器或插件的已知漏洞，即使没有手动输入或下载，也可能在页面加载过程中被植入代码，不过这种情况对系统补丁状态要求较高，并非每次点击都会触发。
三、已经点了，按这个顺序处理
补救的核心逻辑是先控制扩散，再清理暴露面，最后检查有没有被留下"后门"。
1、先断网，再操作。
如果点击后出现了下载或页面表现异常，立刻断开Wi-Fi或拔掉网线，手机则关闭移动数据和Wi-Fi。目的是切断可能已在后台运行的通信，争取处理时间，同时别继续在中毒设备登录重要账号。
2、不要在那个页面上输入任何东西。
如果登录框已经弹出来，直接关掉标签页，不要尝试"试试看能不能登进去"。已经输入凭据的，补救要抢速度：在另一台干净的设备上修改被仿冒账户的密码，如果同一密码在其他地方用过，一并改掉，然后开启多因素认证。改完密码不一定能立刻踢掉已拿到会话令牌的攻击者，大多数主流服务在安全设置里提供"退出所有设备"或"注销所有会话"选项，务必执行。
3、清理环境并全盘扫描。
强关浏览器进程，清Cookie和站点数据，撤掉摄像头、通知、定位权限；手机检查"设备管理/VPN/描述文件"里有没有陌生项。用安全软件做一次完整扫描，检查有没有新增陌生应用、浏览器扩展。
4、检查邮件规则和转发设置。
攻击者入侵邮箱后一个常见动作是设置自动转发或收信规则，把特定邮件悄悄抄送到外部地址，或把含安全提醒的邮件移出收件箱。逐一核对收件规则、转发地址、恢复邮箱和已授权的第三方应用，删掉任何不是自己设置的条目。
5、资金动作最快处理，然后报告。
填过卡号、验证码或有异常扣款的，马上联系银行或支付平台官方渠道冻结、止付、查交易，留截图录屏，别信邮件里给的"客服"。工作场景下第一时间告知IT或安全团队不是可选项——同一条钓鱼链接通常不会只发给你一个人，及时报告可以让管理员从其他同事收件箱里拦下同一封邮件；个人用户可向邮箱服务商或举报平台提交，帮助阻断后续传播。
最后值得留意的一点：补救之后一段时间里，如果突然收到自己没有发起的多因素认证推送，不要点"批准"。攻击者手里可能还留着密码，正在尝试触发登录，等你亲手放行。
日常防护的核心原则是"先核实，再操作"：涉及钱、账号、系统后台，一律自己敲域名或从官方App进；密码分层不复用，重要账号全开双重验证；熟人发来借钱链接、老板邮件催转账，打电话或当面确认。钓鱼攻击利用的大多是人的疏忽和急躁心理，慢一步、核一次、手动登，能挡掉大部分坑。
