收到可疑邮件先别点：钓鱼邮件和社工攻击核对清单
钓鱼邮件最难防的地方，不是它写得多高明，而是它出现得太像日常。一封“快递异常，请重新确认地址”的短信，一个“领导”在微信上让你先垫付一笔款，一封抬头就是你名字的“密码即将过期”邮件，都是在你最忙、最没防备的那几秒钟里出现。这篇文章只给一份核对清单：收到可疑消息时，按顺序打勾，勾完再决定点不点、回不回、转不转账。
清单一：先看发件人，别只看显示名
显示名是可以随便改的，发件地址才是关键。收到邮件先点开发件人，看完整的邮箱地址，不要只看“客服中心”“财务部”这几个字。重点核三处：域名有没有被换成形近的字母，比如把字母 l 换成数字 1；域名后缀是不是你熟悉的官方域名，免费邮箱冒充公司官方邮箱的，基本可以直接判定为可疑；回复地址和发件地址是不是同一个域名，不一致的要格外小心。
短信和即时消息也一样。银行、快递、电商平台发来的通知，一般不会用个人手机号发来，更不会在短信里直接让你点链接输密码。凡是自称官方却用个人号码发来的，先按可疑处理。发件人显示的是熟人的名字、地址却是新注册的免费邮箱时，用你平时联系对方的渠道单独核实，不要直接回复这封邮件。
清单二：链接先悬停，核对真实地址再点
风险提示：链接是钓鱼邮件里最危险的一环，点之前先看清它到底通向哪里，不要凭链接文字判断。
核对办法很简单：在电脑上把鼠标悬停在链接上，看浏览器左下角显示的真实地址；在手机上长按链接，看弹出的预览地址。核两处：域名是不是官方域名，有没有多出来的前缀或者后缀；有没有用短链接把真实地址藏起来，重要操作不要直接点短链接。有 HTTPS 只代表传输加密，不代表网站是真的，假网站也可以有 HTTPS。凡是链接地址和邮件声称的机构对不上的，直接停手，用自己收藏的官网地址或者官方应用重新打开。二维码也要按链接来核，扫之前先看扫码工具显示的域名，域名不对就不要继续。
清单三：附件先问一句，这东西该不该现在打开
附件是另一条高危通道。先看文件类型：以 .exe、.scr、.bat、.js 结尾的可执行文件，个人邮箱里收到的基本不要直接打开；Office 文档里提示“启用宏”或者“启用内容”才能查看的，先停下来问一句，这份文件为什么要开宏。
更稳妥的顺序是：先通过其他渠道核实发件人确实发过这份文件，再打开；不确定的文件，先用在线查毒工具扫一遍再决定，扫描结果只能作参考。某款杀毒软件对某类新型钓鱼附件的具体拦截率未核实，不要因为“装了杀毒软件”就放松警惕。
清单四：凡是索要密码、验证码和付款的，一律停下来
这是整份清单里最硬的一条：正规机构不会通过邮件、短信或者电话向你要密码、短信验证码、银行卡号和身份证照片。凡是消息里出现“请提供验证码”“请把密码发给我”“请先转账”，不管对方说得多急，一律先停下来。
特别要记住两点。第一，短信验证码是登录和付款的最后一道门，任何人以任何理由向你要验证码，都是诈骗的标志。第二，付款类请求必须换渠道核实：对方说自己是领导让转账的，打电话到领导本人平时用的号码确认；对方说自己是供应商换了收款账号的，用合同上留的电话确认，不要用邮件里新给的电话。
清单五：看语气，越急、越吓人、越给好处，越要慢下来
钓鱼和社工攻击最爱用的三招，是制造紧迫感、制造恐惧和许诺好处。“账号两小时后冻结”“包裹今天不处理就退回”“中奖名额只剩最后一个”，都是让你没时间思考的话术。
核对语气时看三处：有没有用“立即”“马上”“最后一次”这类词逼你行动；有没有用“账号异常”“涉嫌违法”这类说法吓你；有没有用“免费领取”“内部名额”这类好处引你点链接。三条里中了一条，就把这封消息当成可疑处理，先放下手机，去官网或者官方应用里查真实状态，不要点消息里的链接去查。
清单六：社工攻击不只在邮件里，电话、短信、微信都要核
社工攻击的意思，是攻击者不碰你的电脑，专门攻你这个人。他可能先在网上搜到你的名字和单位，再冒充你的同事、客户或者家人来套信息。电话里常见的套路是“我是客服，你的订单有问题，需要你提供验证码核对”；微信里常见的是盗号之后冒充本人借钱，或者冒充领导让你点一个新链接。
核对办法就一条：身份和请求分开核。对方说自己是谁，不等于他就是谁；对方让你做什么，先通过你平时用的渠道核实这个请求本身。领导在微信上让你转账，打电话给领导本人确认；“客服”打电话让你提供验证码，挂断后拨打官方客服电话回拨确认；朋友借钱，先打个视频或者语音确认，不要只凭文字。凡是对方拒绝视频、催你“别打电话，直接按我说的做”的，基本可以直接判定为社工攻击。至于某类新型 AI 换脸诈骗在普通用户里的实际发生比例，未核实。
清单七：已经点错了、已经填了信息，马上做这五件事
风险提示：已经点错链接或者填了信息也不要慌，越快处理损失越小，但不要再按对方的指示继续操作。
第一步，马上改密码，从最重要的账号开始改：邮箱、银行、支付工具和工作账号，改完之后开启两步验证。第二步，检查账号的登录记录和绑定信息，有陌生的设备、手机号和邮箱被绑上去就立即解绑。第三步，如果填了银行卡信息，立即联系银行冻结或者挂失相关卡片，并留意近期的交易记录。第四步，保留证据：把可疑邮件、短信和聊天记录截图保存，不要删除，报警或者向平台投诉时用得上。第五步，按官方路径举报：Gmail 电脑端打开这封邮件，点回复旁边的更多菜单，再点“举报网络钓鱼”（核实日期为 2026-11-09）；Outlook 用工具栏里的“举报”按钮，再选“举报网络钓鱼”，是否显示取决于你用的版本和单位管理员的设置（核实日期为 2026-11-09）。举报之后把这封邮件移到垃圾邮件里，不要再点里面的任何内容。
清单八：平时花十分钟，把这四道防线立起来
防钓鱼不能只靠临场反应，平时把防线立起来才有兜底。第一道是两步验证：邮箱、银行、支付工具和社交账号都开启。第二道是密码习惯：重要账号用不同的长密码，不要所有账号共用一个密码。第三道是软件更新：系统、浏览器和办公软件保持最新。第四道是备份：重要文件定期备份，万一中了勒索类攻击，至少还有恢复的余地。
最后把整份清单浓缩成一句话：发件人先核对，链接先悬停，密码验证码谁要都不给，付款先换渠道核实，可疑的先举报再删除。钓鱼邮件赌的就是你那几秒钟的疏忽，清单的作用，就是把这几秒钟拉长，拉长到足够你看清它为止。