核心觀念：信任憑證，不信任顯示

狀態列、網址列、標題列皆可被 JavaScript、CSS、iframe 等技術偽造。唯一可信任的指標是瀏覽器原生的 SSL/TLS 憑證資訊與鎖頭圖示。

防範偽裝網站（Phishing/Spoofing）

1. 確認 SSL/TLS 加密連線

• 網址列必須為 https://。
• 瀏覽器右下角（或網址列左側）顯示 鎖頭圖示。
• 雙擊鎖頭 → 檢視憑證 → 核對「核發給」域名是否與目標網站完全一致。

若無鎖頭或域名不符 → 立即關閉瀏覽器（Alt+F4），切勿輸入任何資料。

2. 手動輸入網址，不點擊連結

郵件、IM、網頁中的連結可能偽裝。習慣手動輸入已知正確網址，或使用書籤/密碼管理器自動填入。

當網站未使用 SSL/TLS 時的應急驗證方法

方法一：JavaScript 彈出真實 URL

在網址列輸入以下程式碼並按 Enter：

javascript:alert("Actual URL:\t\t" + location.protocol + "//" + location.hostname + "/");

或更詳細版：

javascript:alert("The actual URL is:\t\t" + location.protocol + "//" + location.hostname + "/\nThe address URL is:\t\t" + location.href + "\n\nIf the server names do not match, this may be a spoof.");

比對彈出的「Actual URL」與網址列顯示是否一致。不一致即為偽裝。

方法二：比對「歷史記錄」側欄

1. 檢視 → 瀏覽器列 → 歷史記錄
2. 比對網址列與歷史記錄中該項目顯示的 URL。

方法三：複製到新視窗驗證

1. 複製網址列文字（右鍵 → 複製）。
2. 關閉所有 IE 視窗，重新開啟 IE。
3. 貼上網址並按 Enter，觀察實際導向頁面。

識別惡意超連結

1. 滑鼠右鍵點選連結 → 「複製捷徑」。
2. 開啟「記事本」 → 貼上。
3. 檢查完整 URL 是否包含可疑特徵：
   @ 符號（https://user@evil.com）、
   十六進位編碼（%00%2F）、
   極長的子域名（https://paypal.com.phisher.site/）、
   IP 位址而非域名（https://203.0.113.45/）、
   非標準連接埠（:8080、:6666）。

瀏覽器安全設定加強

• 啟用「智慧型螢幕篩選器」/「安全瀏覽」（IE/Edge/Chrome/Firefox 內建）。
• 安裝反釣魚擴充套件（Netcraft、Bitdefender TrafficLight）。
• 停用不必要的 ActiveX、Java、Flash 外掛；改用 HTML5。
• 設定「網際網路」區域安全等級為「高」，「信任的網站」僅加入必要域名。

遇到可疑情況的標準處理程序 (SOP)

1. 不輸入任何資料。
2. Alt+F4 關閉瀏覽器視窗（避免點擊頁面上任何按鈕）。
3. 清除瀏覽器快取、Cookie、表單資料。
4. 全系統掃毒、檢查 Hosts 檔（C:\Windows\System32\drivers\etc\hosts）是否被竄改。
5. 變更可能已洩露帳號的密碼，啟用 2FA。

結語

駭客利用人類視覺慣性與信任機制製造偽裝網站。養成「看鎖頭、核域名、手動輸入、善用工具」的肌肉記憶，才是防禦社交工程攻擊的最佳良方。