七大常見錯誤觀念

迷思 1：HTTPS 與鎖頭圖示 = 安全網站

釣魚網站同樣可申請有效 SSL 憑證。必須檢視憑證細節：主體名稱（CN）是否與組織網域完全一致，而非僅看綠燈。

迷思 2：點擊「授權登入」連結即可驗證真偽

彈出視窗要求認證的連結極易偽造，點擊後仍可能導向釣魚頁，毫無驗證價值。

迷思 3：網址列顯示正確 URL 即為真站

瀏覽器漏洞（如 IDN 偽裝、地址列欺騙）與 DNS 污染皆可讓網址列顯示合法網址實際導向惡意站點。

迷思 4：滑鼠懸停連結可看真實 URL

狀態列文字極易用 JavaScript 竄改，比地址列更不可信。

迷思 5：安裝反釣魚外掛即高枕無憂

特徵碼型反釣魚工具對新變種失效，且外掛本身可能引入新攻擊面。

迷思 6：郵件含個人資料即為官方發送

釣魚者可從公開資料庫、社群媒體、資料外洩事件取得姓名、帳號後四碼等資訊偽造可信度。

迷思 7：登入已知合法網站即安全

XSS（跨站腳本）漏洞可在合法網站注入惡意表單，點擊登入鈕時將帳密 POST 至攻擊者伺服器。

三大實戰防護鐵律

鐵律一：郵件連結零信任，手輸網址直達官網

收到銀行/電商通知郵件，**絕不點擊郵件內任何連結**，另開瀏覽器手輸官方網址或使用書籤登入處理。

鐵律二：可疑網站測試登入 — 假帳密試真偽

懷疑網站時輸入虛構帳密：
✅ 顯示「登入失敗」→ 可能為真站（真站不會記錄錯誤帳密再導向）
❌ 直接登入成功或導向他站 → 確定為釣魚站

鐵律三：轉寄可疑郵件至官方專屬信箱

多數金融機構設有 phishing@bank.com 等專用信箱。轉寄時**保留完整郵件標頭**（含 Received 鏈路），勿期待回覆，單向通報即可。