銀行紛紛推「反釣魚技巧」教育用戶，但許多建議（甚至來自專家）其實失效、錯誤或誤導。本文拆穿七大迷思，給出三條經實戰驗證的黃金準則。

七大失效迷思

1. 「HTTPS + 小鎖 = 合法站點」：釣魚站同樣可申請合法 SSL 憑證。需深入檢視憑證主體 CN/SAN 是否與機構域名匹配，需專業知識，普通用戶難操作。
2. 「輸入授權用戶名/點擊認證鏈接 = 安全」：Splash 頁面的認證鏈接無法保證跳轉至合法站點。
3. 「地址欄顯示正確 URL = 合法」：瀏覽器漏洞可偽裝地址欄；DNS 劫持/投毒同樣能讓你以為在訪問正規站點。
4. 「滑鼠懸停鏈接看狀態欄真實 URL」：狀態欄文本極易被 JavaScript 竄改，比地址欄更易欺騙。
5. 「反釣魚瀏覽器插件能防所有釣魚」：同防毒軟體，對零時差釣魚無效；插件本身擴大攻擊面，可能引入新漏洞。
6. 「郵件含個人信息(姓名/帳號) = 合法」：釣魚者可從公開數據庫/洩露數據獲取個人信息定製釣魚郵件。
7. 「登錄已知合法站點 = 安全」：XSS（跨站腳本）漏洞可在合法站點植入表單，點擊登錄瞬間將憑證劫持至攻擊者站點。

三條黃金防護準則

1. 絕不點擊郵件中的鏈接：收到銀行郵件詢問業務 → 手動輸入銀行官網域名 → 登錄處理。即使發件人看似熟人也不點擊。
2. 可疑站點用虛假憑證試探：輸入假用戶名/密碼 → 若提示「登錄失敗」多半為真站（釣魚站通常不驗證直接收集後跳轉真站）；若登錄「成功」→ 確鑿釣魚陷阱。
3. 轉發可疑郵件至機構專用安全郵箱：多數金融機構設有專箱（如 phishing@bank.com），附完整郵件頭；無需期待回覆，海量報告由安全部門統一分析。

技術防禦永遠跟不上社工變種，**習慣性「不點鏈接、手動輸入域名、試探性登錄」** 才是普通用戶最可靠的護身符。