釣魚網站是什麼？它是假冒銀行、購物網站、政府機關或企業官網的網頁，用相似的網址、標誌與版面，誘騙訪客輸入帳號密碼、信用卡資料或驗證碼，或下載惡意程式。辨識時先看網址列裡的網域本體是否和官方一致，再看網頁是否在不尋常的情況下索取敏感資料；網址有 HTTPS 只代表連線受到保護，不代表網站可信。想查網站有沒有毒，可以用 Google 透明度報告的網站狀態工具查詢，但結果只反映目前的判斷。企業端要做的，是先保護自己的品牌網域，並在發現仿冒時保存證據、向註冊商、主機商與 TWCERT／CC 等管道通報。
釣魚網站的定義與目的
美國國家標準與技術研究院（NIST）把網路釣魚定義為透過電子郵件或網站進行詐騙式索取，假冒正當企業或可信的人，試圖取得敏感資料的手法。Google 搜尋中心則把這類內容歸在社交工程：誘騙訪客做出危險的行為，例如透露機密資訊或下載軟體，網站假冒銀行或其他可信對象的就是典型例子。
釣魚網站通常鎖定以下目標：
- 會員、網路銀行、雲端信箱的帳號密碼。
- 信用卡號、有效期限與安全碼。
- 簡訊驗證碼或一次性密碼，用來接著登入或完成付款。
- 誘導安裝的程式或應用程式，取得裝置的控制權。
它和釣魚郵件是同一套手法的兩端：郵件、簡訊或社群訊息負責把人帶過來，釣魚網站負責收資料。收到可疑信件時怎麼判斷與處理，見釣魚郵件的辨識與通報；本文聚焦在網站本身。
常見的仿冒手法
了解手法是為了辨識與防範，常見的類型有：
- 相似網域：替換或多加一個字元、加上連字號，或沿用品牌名稱但換成其他頂級網域，乍看和官方網址一樣。
- 品牌名稱放在子網域或路徑：網址開頭看起來是品牌名稱，但真正的網域是別人的。
- 複製官網版面：沿用官網的標誌、商品圖與文案，只把登入、付款或客服聯絡方式換掉。
- 假冒的登入或付款頁：以帳號異常、包裹待領、退款這類理由，要求重新登入或輸入付款資料。
- 透過其他管道散布：連結出現在簡訊、通訊軟體、社群貼文或廣告中，讓人以為是官方訊息。
對企業來說，被仿冒的不只是登入頁。任何讓客戶付款、留下個資或聯絡客服的頁面，都可能被複製成仿冒網站，所以需要讓客戶知道哪些才是官方管道。
怎麼辨識釣魚網站：網址、連線與內容
- 找出網域本體：網域是網址開頭的 https 之後、下一個斜線之前的那一段，從右邊往左讀。以 brand.example.com 為例，真正的網域是 example.com，brand 只是子網域，不代表和品牌有關。
- 不要只看 HTTPS：Chrome 說明安全連線代表你與網站之間的資訊不會外洩，但也提醒即使是安全連線，分享機密或個人資訊時仍要提高警覺。連線安全和網站經營者是誰是兩回事。
- 留意不尋常的要求：要求輸入簡訊驗證碼、網路銀行密碼或完整卡號，卻不是你主動發起的交易，就要停下來。
- 留意急迫感與異常條件：限時處理、帳號即將停用、價格明顯低於行情，都是常見的施壓方式。
- 看瀏覽器的警告：Chrome 顯示「你要瀏覽的是詐騙網站」或標示危險時，不要略過繼續瀏覽。
比較穩當的做法，是自己輸入官方網址或使用先前存好的書籤，不從訊息裡的連結進入需要登入或付款的頁面。
網站有沒有毒怎麼查
懷疑某個網址有問題時，可以用 Google 透明度報告中的網站狀態診斷工具查詢。Google 安全瀏覽說明，這個工具用來查看網站目前是否含有安全瀏覽判定為危險的內容；網頁被判定有社交工程行為時，安全瀏覽也會在使用者造訪前顯示警告。
使用時要注意兩件事：
- 沒有警示不等於安全：查詢結果反映的是目前的判斷，還沒被偵測或回報的仿冒網站，查詢結果可能沒有任何警示。
- 不要為了確認而輸入資料：想知道網站是不是真的，不要在上面試填帳號密碼，改用官方網址或官方客服管道確認。
如果被列為不安全的是自己的官網，代表網站可能遭入侵並被放上惡意內容，要從 Search Console 的「安全性問題」報告確認問題、清除後提出審查，檢查方式見網站安全檢測的相關說明。
企業端的品牌網域防護
- 登記容易混淆的網域：至少把品牌常用的頂級網域與明顯的拼法變化登記在公司名下，用公司帳號管理並開啟自動續約，挑選與管理方式可參考網域註冊商的評估重點。
- 查看憑證透明度紀錄：憑證透明度（Certificate Transparency）讓網站憑證的核發公開且可驗證，日誌公開、只能附加；網域擁有者可以從中看到哪些憑證機構在何時替哪些網域核發憑證，定期檢查有沒有不是自己申請的憑證。
- 公告官方管道：在官網列出官方網域、官方社群帳號、客服電話與付款方式，並說明公司不會透過訊息要求客戶提供驗證碼或密碼。
- 保護寄件網域：先設定 SPF 或 DKIM，再設定 DMARC；DMARC 要在 SPF 或 DKIM 至少一項通過且與寄件網域對齊時才有作用，讓收件端依政策處理冒用公司網域寄出的信。相似網域寄出的信不在 DMARC 保護範圍內。
- 保護自己的官網：後台帳號啟用多重要素驗證、系統與外掛保持更新，避免官網被入侵後反過來成為釣魚頁面的所在地。
發現仿冒網站時的通報與下架流程
- 保存證據：記下完整網址、發現時間、頁面截圖，以及客戶收到的訊息或廣告畫面。
- 查出註冊商與主機商：用網域查詢服務找出註冊商與主機商的濫用回報管道，提出仿冒與侵權說明，請對方依其政策處理。
- 向 Google 安全瀏覽回報：從 Google 安全瀏覽網站的「回報網路釣魚」提交網址，經判定後，訪客造訪前可能看到警告。
- 向 TWCERT／CC 通報：台灣電腦網路危機處理暨協調中心網站設有「網路釣魚通報」入口，一般企業的資安事件也可以線上通報。
- 有民眾受騙時：依數位發展部資通安全署的行動指引，涉及犯罪向所在地警政機關報案，涉及金流時聯絡銀行處理，並同步撥打反詐騙諮詢專線。
- 網域侵害商標時：以 ICANN 管理的通用頂級網域為例，ICANN 說明所有註冊商都必須遵循統一網域名稱爭議解決政策，由商標權人向核可的爭議處理機構提出申訴；國家代碼網域依各自管理機構的規定。是否提出與如何主張，以法律專業意見為準。
- 通知客戶：在官網與官方社群公告仿冒網址的特徵，提醒客戶只透過官方管道登入與付款。
常見問題
網址有 HTTPS 就不是釣魚網站嗎？
不是。HTTPS 代表你和網站之間的資訊受到保護，不代表網站經營者可信。判斷是不是官方網站，要看網域本體是否和官方一致，並從官方網址或書籤進入。
點開釣魚網站但沒有輸入資料，需要處理嗎？
沒有輸入資料、也沒有下載或安裝任何東西時，關閉分頁即可，並把網址回報給公司資訊窗口。若有下載檔案或安裝程式，就要請資訊人員檢查裝置。
仿冒網站一定會被瀏覽器標示警告嗎？
不一定。還沒被偵測或回報的仿冒網站，瀏覽器可能不會顯示任何警告，所以不能只靠警告判斷，仍要自己檢查網域與網頁的要求是否合理。
公司需要把所有相似網域都註冊下來嗎？
做不到也不必全部註冊。建議先登記品牌常用的頂級網域與容易打錯的拼法，其餘透過憑證透明度紀錄與通報機制處理，並定期檢討名單。
輸入了帳號密碼之後該怎麼辦？
立刻到官方網站更改密碼，其他使用相同密碼的服務也一併更改，並啟用多重要素驗證；輸入的是信用卡資料，就聯絡發卡銀行處理，同時保存證據並通報。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先列出公司擁有的網域與官方帳號，確認寄件網域的驗證紀錄是否完整，並在官網整理一頁官方管道公告。京采的技術 SEO 與網站健檢服務可以協助檢查網域、DNS、憑證與郵件驗證紀錄的設定，清查官網是否被植入可疑頁面，並協助處理 Search Console 的安全性問題審查；想確認現況，歡迎與我們聯繫。
