先声明：这篇是我去年底的真实经历。当时要不是多留了个心眼，现在这篇文章可能就写不出来了。
那天上午，我收到一封"Apple"发来的邮件，标题是"您的 Apple ID 在新设备上登录"。正文排版、Logo、措辞都极其正规，还煞有介事地列出了登录地点和时间。邮件说"如非本人操作，请立即点击链接验证身份"。我当时手已经放在鼠标上了——前一周我确实换过设备登录，心里一紧。
悬崖勒马的是一个小细节：发件人地址是 apple-support-verfiy@xxxx.com。注意那个"verfiy"，拼错了，少了个 i。真正的苹果官方邮件，发件域名一定是 apple.com 结尾。我把鼠标悬停在链接上一看，指向的根本不是苹果官网，而是一个仿冒的登录页——账号密码输进去，就直接送到骗子手里了。
事后我复盘了整件事，总结出识别钓鱼邮件的 7 个特征，分享给你：
第一，看发件人域名。正规大厂的通知邮件，域名一定是官方域名。任何多字母、少字母、加后缀的（比如 apple-secure、support-apple），直接拉黑。
第二，制造紧迫感。“24 小时内不验证就封号"“您的账户存在风险”，这是钓鱼邮件的标配话术，目的就是让你来不及思考。
第三，链接先悬停再点。桌面端把鼠标放上去看真实地址，手机端长按预览。域名不对，一切免谈。
第四，正规服务商不会在邮件里要密码。凡是邮件里让你"输入密码验证身份"的，100% 是钓鱼。
第五，检查称呼和细节。群发钓鱼邮件常用"尊敬的用户”，而真邮件多半带你的名字。拼写错误、低清 Logo 也是常见破绽。
第六，附件要命。陌生邮件的附件（尤其是 .zip、.html、.exe）千万别点，很多是木马。
第七，交叉验证。收到可疑通知，别点邮件里的链接，自己打开官网或官方 App 去查。那次我就是直接打开 Apple ID 官网看登录记录，干干净净，什么事都没有。
这件事之后，我把所有重要账号都开了双重验证，并且换绑邮箱时走了最稳的流程（之前写过一篇 Facebook 换登录邮箱的经验，思路通用）。万一真的不幸中招，也别慌，按 社交账号被盗后的应急处理清单 一步步来，黄金 30 分钟能挽回大部分损失。
不止邮件：短信和电话钓鱼
钓鱼不只活在邮箱里。这两年冒充"快递"“银行"“运营商"的诈骗短信越来越多，话术也在升级：不再是错字连篇的"恭喜中奖”，而是"您的快递已到驿站，点链接查看"这种日常场景。识别方法相通：陌生链接先别点，官方 App 里查；凡是让你转账、输验证码的，直接挂断拉黑。
电话钓鱼更狠，冒充公检法、客服，“你的账户涉嫌洗钱"开场，先吓住你再一步步掏信息。记住一条：真警察不会在电话里让你转账，凡是电话里谈钱的，一律按诈骗处理。
收到钓鱼邮件后：举报它
别删了就完，顺手举报能帮到更多人。邮箱客户端一般都有"举报钓鱼邮件"按钮，点一下，样本会进入服务商的反钓鱼库。特别恶劣的（比如仿冒银行、大规模群发），可以向国家反诈中心 App 举报。你的随手一点，可能就是别人免于上当的原因。
给家人的安全教育
说实话，我们这代人多少有点免疫力，真正高危的是父母长辈。我给我妈定的规矩就三条：陌生链接不点，验证码不告诉任何人，涉及钱的事先给我打电话。你也给家里老人立三条规矩，比装十个杀毒软件都管用。
最后送一句老司机的话：骗子研究的是人性，不是技术。慢三秒，多看一眼，你就赢了。