釣魚網站：為什麼會騙到人
1-2 網址列的視覺盲點：從同形字到子網域偽裝
既然畫面已經無法分辨，大多數資安宣導會叫你看網址。問題是，網址本身也被設計成「看起來對」的樣子。以下幾種手法特別常見：
第一種是子網域偽裝。例如 tw.bank-security-check.example.com 這種網址，前面塞了銀行名稱與「安全驗證」字樣，但真正的網域其實是 example.com。手機瀏覽器網址列很窄，常常只顯示開頭幾個字元，使用者根本看不到後面的真實網域。
第二種是連字號與字元替換。把 paypal.com 寫成 paypa1.com（數字 1 代替小寫 l）、把 microsoft 寫成 rnicrosoft（r 加 n 看起來像 m），或加上 -service、-login、-verify 等字尾。
第三種是同形異義字（homograph）。利用西里爾字母「а」或希臘字母「ο」等外觀幾乎相同但編碼不同的字元，組成國際化網域（IDN）。這種網址貼在訊息裡，肉眼幾乎無法辨識，必須靠瀏覽器或密碼管理器的顯示才能真正看出差異。
第四種是頂級網域的濫用。便宜甚至免費的網域後綴（如 .xyz、.top、.icu、.cc、.shop）註冊門檻低，被大量用於短期釣魚站。這不代表這些後綴一定是壞的，但當你看到「知名品牌 + 冷門後綴」的組合時，警覺就該提高。
所以，正確的看網址方式不是「從左邊開始讀」，而是從右往左，先找出最靠近結尾兩段的主網域，再回頭確認前面的字是不是官方所有。這個小動作只需要兩秒，卻能擋掉大半的低階釣魚。
1-3 HTTPS 鎖頭不等於安全
這是目前最普遍、也最危險的誤解。「有鎖頭就是安全的網站」這句話在 2015 年之後就已經不成立。Let's Encrypt 等機構提供免費的網域驗證（DV）憑證，任何人只要擁有一個網域，幾分鐘內就能為釣魚站加上 HTTPS。加密只代表「你與這個網站之間的傳輸被保護」，不代表「這個網站是好人」。
更進一步說，2023 年 Chrome 已經把網址列上的鎖頭圖示改成調整圖示（tune icon），並且不再以「安全」字樣強調 HTTPS，原因正是資安社群多年來反映：鎖頭反而讓使用者產生錯誤的安全感。換句話說，當你看到鎖頭時，你唯一能確定的事情是「連線有加密」，其他什麼都不能確定。
真正該看的是「網域是否為官方所有」，以及「你是不是從官方管道進來的」。這也是後面自保章節會反覆強調的核心原則。
二、為什麼會騙到人？六個讓人「自動按下送出」的心理機制
如果釣魚只是技術問題，那裝好防毒軟體、更新瀏覽器就結束了。但事實是，絕大多數的成功釣魚靠的是心理學。心理學家西奧迪尼（Robert Cialdini）提出的影響力六大原則，幾乎可以逐條對應到釣魚手法的設計。以下六個機制，是筆者認為最關鍵的部分。
2-1 恐懼加上急迫感：讓杏仁核搶走前額葉的工作
心理學中有個廣為人知的概念：人類有兩套思考系統。系統一快速、直覺、自動；系統二緩慢、費力、需要專注。釣魚訊息最擅長的事情，就是用恐懼把系統二關掉。
「您的帳號出現異常登入，請於 24 小時內完成驗證，否則將被停用。」「您的包裹因欠費將於今日退回。」「您的帳戶涉及洗錢案件，請立即配合調查。」這類文案的共同點是：負面後果、明確期限、要求立即行動。人在焦慮狀態下，會傾向選擇「最快消除威脅」的動作，也就是照著指示點下去。
更狠的是「時間壓力」。研究顯示，只要加上倒數計時器、限時優惠、名額剩餘數量，人的決策品質就會明顯下降。有些釣魚頁面甚至真的會跑倒數計時，時間到了就跳出「驗證逾時，請重新操作」，讓你更急。
2-2 權威服從：LOGO、制式語氣與「客服人員」
人類天生傾向服從權威。釣魚頁面會大量使用官方 LOGO、企業識別色、法律聲明頁尾，甚至把隱私權政策與服務條款也複製過去。信件署名用「客戶服務部敬上」，語氣正式、用詞制式，還附上統編與客服電話（通常是假的或轉接到詐騙集團）。
當這些元素疊在一起，大腦會自動判定「這是官方」。你甚至不會去查證寄件者位址，因為「看起來就是銀行寄的」。這就是權威偏誤在資安上的具體作用。
2-3 社會認同：假的「已有一萬人完成驗證」
人有從眾傾向，在不確定的情境下，會參考他人的行為來決定自己怎麼做。釣魚頁面因此常出現「今日已有 8,742 人完成驗證」「您的三位朋友也已加入」這類假數據，或在頁面下方放幾則偽造的好評。投資型詐騙更會用群組截圖營造「大家都在賺」的氛圍。
這類手法的殺傷力在於：它讓你在「懷疑」與「相信」之間，多了一個「別人都做了，應該沒問題」的推力。
2-4 貪小便宜與互惠心理：免費的最貴
「填問卷送 500 元禮券」「限量免費貼圖」「恭喜抽中 iPhone，請支付 99 元運費」。这类手法的核心是互惠與匱乏感：先給你一個看起來划算的東西，再要求你付出「很小的代價」——填資料、付運費、輸入信用卡驗證。因為代價很小，你的防備心也跟著降低。
值得注意的是，這類釣魚經常鎖定特定族群與時節，例如百貨週年慶、雙十一、農曆年前後的紅包活動。攻擊者非常清楚，人在「覺得自己佔到便宜」的時候，最不容易檢查網址。
2-5 習慣與認知負荷：我們其實很少「真的在看」
現代人每天要處理的訊息量遠超負荷。手機通知、信件、群組訊息、工作系統，每一項都在爭取注意力。在這種狀態下，大腦會大量依賴「習慣」來運作：看到藍色按鈕就按、看到「登入」就輸入、看到「下載」就點。
釣魚網站正是利用這種「熟練的盲點」。你每天登入同一個系統幾十次，動作已經自動化，所以當假頁面出現在你面前時，你的手指會比你的判斷先動作。這也是為什麼資安研究發現，網路使用經驗豐富的人不一定比較安全，因為他們的「自動化程度」更高。
另一個加重因素是「多工」。邊走邊回訊息、邊開會邊點連結、在手機小螢幕上操作，這些情境都會壓縮你檢查細節的能力。
2-6 損失趨避與沉没成本：投資型詐騙的致命組合
心理學告訴我們，人對「損失」的痛感遠大於「獲得」的快樂。投資型釣魚（假交易所、假老師帶單）就是利用這一點：先讓你小額獲利並成功出金，建立信任；接著當你想提領大筆金額時，平台會要求「先繳保證金」「先付稅金」才能出金。此時你已經投入了大量時間與金錢，沉没成本讓你很難承認自己被騙，於是一次又一次地匯款。
這類案件的金額通常遠高於一般帳號盗用，也最難追回。它的成功關鍵不是技術，而是對人性弱點的長期經營。
三、技術層面的「助攻」：讓假網站幾可亂真
除了心理操作，現代釣魚還有一整套工具鏈在後面支撐。理解這些技術，有助於你明白「為什麼有些攻擊連 2FA 都擋不住」。
3-1 釣魚工具包與自動化：一人也能發動千人規模攻擊
地下市場上存在大量現成的「釣魚工具包」（phishing kit），內容包含可直接部署的假登入頁、自動寄信腳本、受害者資料後台，有些甚至附帶 Telegram 機器人，受害者一輸入帳密，攻擊者手機立刻收到通知。這使得發動釣魚的技術門檻大幅降低，不需要會寫程式，只要會租網域、架站、寄信即可。
工具包也會持續更新，跟著官方網站的改版同步修改頁面。這也是為什麼你很難靠「版面長得不太一樣」來判斷真假——因為工具包更新得比你還勤。
3-2 中間人釣魚：連一次性驗證碼都能被攔截
傳統觀點認為「開啟兩步驟驗證就安全了」，但這對「中間人釣魚」（adversary-in-the-middle，AiTM）並不完全成立。攻擊者使用反向代理工具（如 Evilginx、Modlishka 等），讓受害者連到攻擊者的伺服器，攻擊者再即時轉發到真正的官方網站。
結果是：你看到的登入頁是真的官方頁面（透過代理呈現），你輸入的帳密與 OTP 也被即時轉送給官方完成登入，而攻擊者同時取得登入後的 session cookie。之後攻擊者就能用這個 cookie 直接冒充你，完全跳過驗證流程。這類攻擊在 2023 年之後明顯增加，特別是針對 Microsoft 365、Google 帳號與企業郵件系統。
因此，真正能抵抗這類攻擊的是抗釣魚的多因素驗證，例如 FIDO2 安全金鑰或 Passkey。它們綁定網域，當網域不對時就不會完成驗證，代理站也無法從中取得可用的憑證。
3-3 短網址、QR Code 與開放式重新導向
短網址服務（如 bit.ly、reurl 等）能把一長串可疑網址壓縮成短短幾個字元，讓你在點擊前完全看不到目的地。QR Code 更徹底，它把網址變成一張圖，手機掃了就自動開啟，連「看一眼網址」的機會都沒有。
另一種常見手法是「開放式重新導向」。許多大型網站有轉址功能，例如 example.com/redirect?url= 後面接任意網址。攻擊者會利用這些可信任網域的轉址參數，包裝惡意連結。因為前半段網域看起來是知名網站，很多人就放下戒心。
3-4 搜尋引擎廣告與 SEO 投毒
「我是在 Google 搜尋到的，怎麼會是假的？」這句話在釣魚案件中出現頻率極高。攻擊者會購買搜尋廣告，把假網站排在真正的官方網站上方，或利用 SEO 手法把假的下載頁推到自然搜尋前幾名。常見目標包括：通訊軟體、瀏覽器外掛、遠端桌面工具、加密錢包、報稅軟體。
更細緻的手法是「品牌字 + 特定詞」的長尾操作，例如「某某軟體 下載 繁體中文 免費」。這類關鍵字的商業競爭較低，廣告成本便宜，卻精準命中正在找下載來源的使用者。
3-5 App 內建瀏覽器與深層連結
在 LINE、Instagram、Facebook 等 App 裡面點開連結時，頁面會在「App 內建瀏覽器」中開啟。這種瀏覽器的網址列通常被隱藏、縮小，或只顯示部分網域，使用者很難確認自己到底在哪個網站。部分深層連結（deep link）甚至可以直接喚起 App 內的特定頁面，讓你誤以為自己已經在官方 App 裡。
這些設計原本是為了便利，卻也成了釣魚的溫床。實務建議是：只要連結要求你輸入帳密，就先把連結複製到瀏覽器（或直接不點），改用官方 App 或手動輸入網址。
四、拆解一封釣魚信：從收到到被盜的完整流程
理解原理之後，我們用兩個真實世界中不斷重複的情境，把整個流程走一遍。你會發現，每一個環節都經過設計。
4-1 情境一：假冒物流的「配送異常」簡訊
第一步，你收到一則簡訊：「您的包裹因地址不完整無法配送，請於 24 小時內點擊連結更新資料，否則將退回寄件人。」簡訊中附上短網址。
第二步，你點進去，看到一個與知名物流公司幾乎相同的頁面，上面有貨態查詢、客服電話、公司地址。頁面要求你輸入姓名、電話、地址，理由是「重新安排配送」。
第三步，填完之後，頁面跳出「為確認身分，請輸入信用卡號支付 58 元重新配送費」。金額很小，你覺得合理，於是輸入了卡號、有效期限與簡訊 OTP。
第四步，畫面顯示「驗證成功，我們將盡快為您配送」。同時，你的卡片資料已經被送往攻擊者的後台，並在幾分鐘內於海外網站被盜刷，或直接被綁定到行動支付。
這個流程成功的關鍵在於：金額小、理由合理、時間急迫、視覺可信。四個條件同時成立，多數人都會買單。
4-2 情境二：假冒雲端共享文件
第一步，你收到一封來自「同事」的信件，主旨是「財務報表最終版，請確認」。信件內容簡短，附上一個「開啟文件」的按鈕。寄件者顯示名稱確實是同事的名字，但完整位址其實是陌生網域（例如 gmail 或其他免費信箱）。
第二步，點擊後跳到一個仿 Google Drive 或 Microsoft OneDrive 的頁面，顯示「此文件需要登入才能檢視」。
第三步，你輸入公司信箱與密碼。由於公司可能沒強制使用防釣魚的 MFA，帳密直接被取得。
第四步，攻擊者登入你的信箱，設定自動轉寄規則，把特定關鍵字的信件轉到外部信箱；接著用你的名義向同事、客戶寄送更多釣魚信。因為信真的來自你的帳號，收件者幾乎不會懷疑。
這類攻擊在企業環境特別危險，因為它利用的是內部信任鏈。一封來自同事帳號的信，比來自陌生人的信有效十倍。
4-3 被盜之後的 48 小時：真正的損害才開始
很多人以為「改密碼就好了」，但帳號被盜之後的處理遠比想像複雜。攻擊者通常會：變更備援信箱與電話、開啟兩步驟驗證把自己鎖在裡面、建立應用程式密碼、刪除登入警示信、在雲端硬碟中植入惡意檔案、用你的名義發送借錢訊息或散播釣魚連結。
如果是企業帳號，還可能被用來寄送內部釣魚信、存取 SharePoint 或 Teams 資料、甚至作為跳板入侵其他系統。因此，「發現異常後的第一小時」怎麼處理，往往決定損害範圍。
五、不是笨才會被騙：哪些情境讓人特別脆弱
談到這裡，應該已經很明顯：釣魚的成功與智商無關，與「當下的情境」高度相關。以下幾種狀況，任何人都可能中招。
5-1 高網路使用者的「熟練的盲點」
每天上網八小時的人，操作速度快、習慣強，反而容易在「以為自己很熟」的狀態下出錯。特別是當釣魚頁面與日常工作流程高度相似時（例如每天都要登入的系統），大腦會直接進入自動導航模式。資安研究中常提到的「認知反射測試」（CRT）分數，與釣魚易感性確實有關聯，但更關鍵的是當下的注意力資源是否充足。
換句話說，一個平常很謹慎的人，在趕報告、帶小孩、開車等紅燈時點開連結，照樣可能中招。
5-2 高風險族群與高風險時機
實務上，以下族群與時機的風險特別高：
求職者：急著找工作時，對「面試通知」「履歷附件」的防備最低。
剛換手機或重灌電腦的人：急著找回帳號，容易在假登入頁輸入資料。
報稅季、購物節、選舉期間：時事相關的釣魚訊息大量出現。
感情或財務壓力大的人：投資型與交友型詐騙最常鎖定這類族群。
理解這一點很重要：防釣魚不是「責怪受害者」，而是在自己處於高風險情境時，刻意放慢速度。
六、實戰自保：把被騙機率壓到最低的具體做法
以下方法不需要高深技術，但需要養成習慣。建議從中挑選三到五項，先落實在每天會用到的帳號上。
6-1 網址檢查與「不點連結」原則
第一，從右往左讀網址。先找最靠近結尾兩段的主網域，確認是不是官方所有，再看前面的子網域。
第二，要求輸入帳密時，一律改用官方 App 或手動輸入網址。不要從信件、簡訊、社群訊息裡的連結進入登入頁。這條規則聽起來麻煩，但它能擋掉絕大多數的憑證釣魚。
第三，把常用服務加入書籤。銀行、雲端硬碟、社群平台、公司系統，全部加到瀏覽器書籤或手機主畫面，從此只從書籤進入。
第四，檢查寄件者的完整位址，而不是顯示名稱。顯示名稱可以任意偽造，真正的位址才具有辨識價值。同時注意 reply-to 是否與寄件者不同。
第五，善用密碼管理器的「不自動填入」訊號。這是一個非常實用的技巧：如果你的密碼管理器在正確的官方網域會自動填入，但在某個頁面卻沒有跳出建議，那幾乎可以確定這個網域不是官方網站。因為密碼管理器是比對網域來決定要不要填入的。
6-2 帳號防線：密碼管理器、Passkey 與正確的 2FA
使用密碼管理器。它可以為每個網站產生獨立的高強度密碼，避免「一處外洩、處處淪陷」。更重要的是，它會綁定網域，等於替你把關「這個網站是不是真的」。
優先採用 Passkey 或 FIDO2 安全金鑰。這類驗證方式綁定網域，能有效抵抗中間人釣魚。目前 Google、Microsoft、Apple 等平台都已支援，設定一次就能省下大量風險。
若使用傳統 2FA，盡量用驗證器 App 而非簡訊。簡訊可能被 SIM 卡交換攻擊攔截，防護力較弱。此外，對於「突然跳出」的推播驗證請求，一律按拒絕，這可能是 MFA 疲勞攻擊（攻擊者反覆發送推播，等你按錯一次同意）。
定期檢查帳號的登入裝置與應用程式授權。把不認識的裝置登出、撤銷不常用的第三方 App 權限，尤其是那些要求「讀取信件」「管理雲端硬碟」權限的應用程式。
6-3 已經輸入了怎麼辦：黃金處置流程
如果你發現自己已經在可疑頁面輸入了帳密，請立刻依序執行：
立刻從官方管道變更密碼（不要從剛剛那個頁面點任何連結）。
登出所有裝置，強制中斷攻擊者的 session。
檢查備援信箱、電話、驗證方式是否被竄改，若被改要先移除。
檢查自動轉寄規則與簽名檔，攻擊者常利用轉寄規則長期潛伏。
檢查已授權的第三方應用程式，撤銷不認識的項目。
若涉及信用卡，立即致電銀行停卡並說明遭盜刷風險。
若涉及公司帳號，立刻通報 IT 或資安窗口，不要自己處理。
通知可能收到你名義釣魚信的聯絡人，請他們不要點擊。
在台灣可撥打 165 反詐騙專線諮詢，必要時報案留存紀錄。
時間是關鍵。多數憑證盗用在數小時內就會被使用，越早處置，損害越小。
七、企業、社群與家庭：把防線往外推
個人的警覺有限，真正的防護需要把「檢查」變成系統性的機制。
7-1 企業端：從寄件者驗證到員工演練
企業最基本的動作是設定 SPF、DKIM 與 DMARC。DMARC 設為 p=reject 之後，未經授權的寄件者就無法冒用公司網域寄信，能大幅降低「假冒同事」與「假冒供應商」的釣魚信成功率。
其次是郵件閘道與釣魚防護，包括連結即時檢測、附件沙箱分析、外部寄件者標示。再來是條件式存取：只允許合規裝置與可信位置登入，並全面啟用抗釣魚的 MFA。
最後是員工演練與通報機制。演練的目的不是抓誰按了連結，而是讓「回報可疑信件」變成日常習慣，並確保通報後有人處理。切記不要用懲罰文化，否則員工會隱匿失誤，反而更危險。
7-2 論壇與家族群組：轉傳之前多想三秒
在雅寶社區或頂客論壇這類社群裡，資訊流通快速，但也容易成為釣魚連結的放大器。幾個實用原則：
遇到網友私訊借錢或要求代收驗證碼，一律改用其他管道確認身分。
社群的力量在於「互相提醒」。一個人多問一句「這個連結你確認過來源嗎」，就可能擋下一次集體受害。
八、常見問題
Q1：有 HTTPS 鎖頭的網站一定安全嗎？
不一定。免費憑證取得容易，鎖頭只代表連線加密，不代表網站擁有者可信。請改看網域是否為官方所有。
Q2：我已經開啟兩步驟驗證，還會被釣魚嗎？
會。中間人釣魚可以即時攔截 OTP。建議改用 Passkey 或 FIDO2 安全金鑰，這類驗證綁定網域，能抵抗此類攻擊。
Q3：手機上很難看清網址，怎麼辦？
養成「不從連結登入」的習慣，改用官方 App 或手動輸入網址。也可以長按連結預覽目的地，或先複製到瀏覽器再檢查。
Q4：只是在假頁面填了 email，沒填密碼，會有風險嗎？
有。你的 email 會被列入「有效名單」，未來會收到更多針對性釣魚信。建議提高警覺，並留意後續可疑郵件。
Q5：公司信箱收到同事寄來的文件連結，該點嗎？
先確認寄件者完整位址與語氣是否異常。若對方平日不會寄這類文件，建议用其他管道（電話、即時通訊）確認後再開。企業內部也應建立「外部共享文件」的處理規範。
Q6：長輩一直點到釣魚連結，該怎麼幫他？
與其反覆責備，不如做三件事：把常用服務放到手機主畫面、安裝具備惡意網址攔截的 DNS 或安全軟體、設定「任何要求輸入密碼的連結都先問家人」的規則。
結語：釣魚騙的不是技術，是你的注意力
回到最初的問題：釣魚網站為什麼會騙到人？答案不是「因為它做得太像」，而是因為它精準地利用了人在特定情境下的注意力缺口。恐懼、權威、從眾、貪小便宜、習慣、損失趨避，這些心理機制每天都在運作，而釣魚只是把它們組裝成一個可規模化的攻擊流程。
好消息是，防禦並不需要你變成資安專家。只要建立幾個穩定的習慣——不從連結登入、從右往左看網域、用密碼管理器、啟用抗釣魚的驗證方式、發現異常立刻處理——你就能把被騙的機率壓到非常低。
下次在頂客論壇或家族群組看到「限時驗證」「包裹異常」「免費好康」的連結時，請給自己三秒鐘。這三秒，往往就是真假之間的距離。