網路釣魚是什麼？假郵件、假網站的分辨方法與對策

生活中的例子

你是否收過這樣的簡訊：「包裹已送達，但因無人在家已帶回」？「您的信用卡疑似遭到盜刷，請盡快確認」這類電子郵件也很常見。打開內文的連結，有時會出現和真的一模一樣的登入畫面。

這類訊息大多是網路釣魚。在日本，日本防範網路釣魚協議會在2025年一年內，收到約245萬件通報。這是任何人都會收到、非常普遍的詐騙。本文依序說明人為什麼會被騙，以及防範的方法。

網路釣魚是什麼：假冒真的，讓你自己輸入

網路釣魚是假冒真實企業或公家機關，把人引到假網站，讓人輸入重要資訊並加以竊取的詐騙。被假冒的有銀行、信用卡公司、網路購物、宅配業者、電信業者等。英文的 phishing，是由釣魚（fishing）變化而來的詞。比喻用誘餌引誘、再把人釣上來的樣子。

被偷的是登入用的帳號和密碼、信用卡號碼、銀行的密碼（PIN碼）等。也有連登入時傳到手機的驗證碼，都要求輸入的手法。偷來的資訊會被用來非法登入，或擅自轉帳、購物。日本資訊處理推進機構（IPA）也指出，被偷的個人資料可能在犯罪者之間被買賣。

重點在於，是使用者自己動手輸入的。電腦並沒有被入侵。密碼再長，自己打進假網站，就會落到對方手中。所以防護的思維不是「變得更強」，而是「不要交出去」。

入口是電子郵件和簡訊

入口大多是電子郵件和簡訊（SMS）。簡訊是只要有電話號碼就能傳送的短訊息。只要知道號碼就能傳，因此被拿來詐騙。利用簡訊的網路釣魚，也稱為簡訊釣魚（smishing，由SMS和phishing組合而成）。

假的未送達通知簡訊，除了引到假網站，也有讓人安裝惡意App的例子。另外，也有從電子郵件或紙上印的QR Code引到假網站的手法。QR Code的情況，在「QR Code的原理」一文中說明。

電子郵件的寄件者名稱，寄件方可以隨意填寫。即使顯示「○○銀行」，也不一定是真的銀行寄來的。

原理1：看到的文字和真正的去處是兩回事

電子郵件裡的連結有2種資訊。一是畫面上看到的文字，二是點下去實際開啟的去處。這2者可以由製作者分別決定。即使看到的文字是真實公司的網址，去處也能設成假網站。

在電腦上，把滑鼠游標移到連結上（不要點擊），就會顯示真正的去處。Microsoft建議確認顯示的去處，是否和郵件中的文字一致。手機上，很多機型長按連結也能確認去處。不過，即使看得到去處，也不代表就是真的。

原理2：做出和真的幾乎一樣的名稱

表示網頁位址的字串，稱為URL（網址）。就是以「https://」開頭的那串文字。URL中從「https://」之後到第一個「/」為止，相當於網站的名稱。

這個網站的名稱，稱為網域名稱。網域名稱以點區隔，越右邊的部分代表越大的區分，要從右往左讀。詳細請見「DNS是什麼？」。決定歸誰所有的，是右端的部分（圖中藍色的字）。

假網站名稱的做法，大致有3種。圖是其中的例子。全都是為了說明而虛構的名稱。

第1種是把真的名稱放在左邊當裝飾。網域名稱的左邊，擁有者可以自由加上。所以「online-bank.example.login.example」，屬於右端「login.example」的擁有者。即使左邊看得到真的名稱，也毫無關係。

第2種是只差1個字的名稱。例如把「l（小寫L）」換成「1（數字一）」，或多加一個連字號。手機畫面狹小，有時只顯示URL的一部分，更容易看漏。

第3種是使用其他語言文字的方法。俄文等使用的西里爾字母中，有和英文字母「a」「p」幾乎同形的字。看起來一樣，對電腦而言卻是不同的名稱。Chrome等瀏覽器會把容易混淆的名稱，顯示成以「xn--」開頭的符號串，讓人察覺。

原理3：鎖頭圖示不是「真網站的證明」

很多人記得「有鎖頭圖示（https）就安全」。但鎖頭圖示表示的，只是正在和這個名稱的網站進行加密保護的通訊。假網站的擁有者，只要是自己取得的網域名稱，也能免費拿到正式的憑證（網站的電子身分證）。

實際上，很多釣魚網站都使用HTTPS。根據防範網路釣魚的團體APWG的報告，2020年7～9月約為80%。Chrome在2023年，為了減少誤解，把網址列的鎖頭圖示換成別的圖示。詳細請見「HTTPS是什麼？鎖頭圖示能保護與不能保護的事」。

原理4：輸入的資訊會當場被用在真網站

在假網站的背後，輸入的資訊有時會立刻被使用。攻擊者會把輸入假網站的帳號和密碼，當場輸入到真網站。真網站把驗證碼傳到手機時，假網站也會要求輸入這組驗證碼。輸入的驗證碼，也會立刻轉送到真網站。

這種手法稱為即時型網路釣魚。用密碼和驗證碼2者確認的機制，也可能這樣被突破。日本警察廳也呼籲，不要在假網站輸入驗證碼。後面說明的通行金鑰，在設計上就讓這種轉送無法成功。

為什麼受騙的人始終不斷

網路釣魚之所以持續，是因為它針對的是人的心理，而不是技術的漏洞。利用人的心理或疏忽來套取資訊的手法，總稱為社交工程。常用的伎倆如下。

• 催促：像「24小時內未確認將停用」這樣設下期限，奪走思考的時間。
• 煽動不安或貪念：挑選疑似盜刷、未付款、中獎、點數即將到期等，讓人無法放著不管的話題。
• 模仿真的：標誌、文字和畫面設計，都能直接照抄真的。2025年在日本的通報中，被假冒的品牌有229個。
• 配合時機：在報稅等可能收到真正通知的時期寄送（IPA的說明）。
• 能大量寄送：電子郵件和簡訊能以很少的費用寄給大量的人。只要極少數人上當，就能獲利。

受騙的人並不是特別粗心。真的公司也會用電子郵件或簡訊發送重要通知。在忙碌時收到和真的一模一樣的訊息，任何人都可能點下去。正因如此，不只依賴分辨能力的機制才重要。

防範方法1：不從連結開啟，自己開啟來確認

最有效的習慣，是不從電子郵件或簡訊的連結登入。收到在意的訊息時，從該服務的官方App，或之前登錄的書籤開啟。日本防範網路釣魚協議會給使用者的指引（2026年度版），也建議這種做法。

書籤只在第一次時，確認正確的網域名稱後，自己輸入來建立。App從官方的應用程式商店安裝。打電話確認時，也不要撥郵件裡寫的號碼。如果是信用卡，就撥卡片背面寫的客服電話。

防範方法2：把密碼管理工具的自動填入當成「確認」

保管密碼、在登入畫面自動幫你填入的工具，稱為密碼管理工具。瀏覽器和手機也有內建。多數密碼管理工具，只在網域名稱和登錄時相符的網站，才會提供自動填入的選項。

這個特性，可以成為察覺假網站的線索。平常都會自動填入，今天卻沒有出現選項。這時，你可能開到了名稱相似的另一個網站。Google和Microsoft的瀏覽器說明，也把這點列為防護之一。

也有要注意的地方。沒有出現選項時，不可以把保管的密碼手動抄過去輸入。另外，即使是真網站，登入畫面的網址改變時，也可能不出現選項。自動填入不是決定性的證據，而是讓你停下來想「怪怪的」的信號。

防範方法3：多因素驗證，以及不易受騙的通行金鑰

除了密碼，再用手機等其他東西確認是本人的方法，就是多因素驗證。即使密碼被偷，光靠密碼也很難登入。可以使用的服務，就把它開啟吧。

不過，在即時型網路釣魚中，驗證碼也會被轉送。由人看了數字再輸入的方式，一旦輸入到假網站就守不住。因此逐漸普及的，是稱為通行金鑰（passkey）的登入方法。它以產業團體FIDO聯盟等制定的標準為基礎。

使用通行金鑰時，手機或電腦會為每個網站，持有專用的「私密金鑰」。網站只保管成對的「公開金鑰」。登入時，裝置用私密金鑰製作數位簽章後送出。簽章是只有持有該金鑰的裝置才能做出的記號，私密金鑰本身不會離開裝置。

重要的是，金鑰和登錄時的網站名稱綁在一起。瀏覽器會把目前開啟的網站名稱，告訴裝置。假網站的名稱和登錄的名稱不同，所以裝置不會製作簽章。即使人沒能分辨出來，機器也會比對名稱並擋下來。

使用通行金鑰時，會用指紋、臉部或螢幕鎖定的PIN碼確認。這是為了在裝置內確認可以使用金鑰，指紋或臉部的資料並不會傳給網站。2022年5月，Apple、Google、Microsoft共同宣布，將擴大支援通行金鑰。不過，仍有尚未支援的服務。如果還保留用密碼登入的方式，那一邊仍可能成為目標。另外，通行金鑰保護的只有登入。在假網站輸入信用卡號碼等，還是會被偷。

防範方法4：也讓過濾功能和警告幫忙

電子郵件和簡訊，有自動擋下可疑訊息的過濾功能。瀏覽器也有在你要開啟已通報的假網站時，顯示警告畫面的功能。日本防範網路釣魚協議會的指引，也建議啟用這些功能。

不過，這些主要是擋下「已經發現的假網站」的機制。剛做好的假網站，有時會成為漏網之魚。出現警告就不要繼續，沒出現也不要因此放心，這樣使用才恰當。

如果不小心輸入了

發現自己在假網站輸入了資訊時，請依下列順序處理。越早處理，越能減少損害。以下是日本的機關提供的建議與窗口。在日本以外，請聯絡自己的銀行、信用卡公司和當地警察。

1. 變更密碼：從官方App或書籤開啟真網站後變更。使用相同密碼的其他服務，也全部變更（日本警察廳的說明）。
2. 輸入了信用卡號碼，就聯絡信用卡公司：撥打卡片背面的客服電話，請對方停卡（日本信用協會、日本警察廳的說明）。
3. 輸入了銀行資訊，就聯絡銀行：輸入了密碼（PIN碼）或驗證碼時，也要立刻通知金融機構。
4. 向警察諮詢：在日本，可向各都道府縣警察的諮詢窗口，或警察諮詢專線「#9110」諮詢。郵件、假網站的URL和畫面截圖，不要刪除，保留下來。

能查看登入紀錄的服務，也要確認有沒有陌生裝置的登入，或註冊資料遭到變更。

如果沒有開啟連結、什麼都沒輸入，刪除郵件或簡訊就夠了。IPA也建議，對不記得的郵件或簡訊，不予理會並刪除。不過，如果從假簡訊等安裝了App，就另當別論。IPA建議切換成飛航模式、刪除App，再將裝置重設為原廠設定，並變更密碼。

常見的誤解

從數字來看

通報件數是協議會收到的通報數，不是受騙的人數。同一封假郵件，也可能有很多人通報。即使如此，仍可作為了解寄送數量之多的參考。

在日本，網路銀行非法轉帳的損失金額，2025年達到約104億日圓。超過了先前最多的2023年約87.3億日圓。日本警察廳表示，2024年與2025年的非法轉帳中，約9成的手法是網路釣魚。

進一步學習

• 鎖頭圖示和憑證能保護與不能保護的事：HTTPS是什麼？
• 密碼的保存方式、重複使用的危險、多因素驗證的原理：密碼為什麼會被破解？
• 網域名稱從右邊讀的原因，以及從名稱查出號碼的原理：DNS是什麼？
• 通行金鑰背後的技術：加密是什麼？、公開金鑰加密
• 防火牆難以擋下假網站的原因：防火牆是什麼？
• 多因素驗證在公司成為常態的背景：邊界防禦與零信任的差異
• 用計算試試密碼的長度和強度：密碼暴力破解時間計算工具