一封自称来自 Amazon.co.jp 的邮件表示：为了账户安全，请点击链接完成确认。正文客气，署名正式，连版权声明都有。看上去像客服部门认真加班的成果。
问题在于：链接中的实际主机并不是亚马逊。 这种邮件应当按高度可疑的钓鱼诱导处理。不要通过邮件登录；请自己打开可信的亚马逊官方应用或保存过的官方网站。
1. 说是“重要通知”，却没有具体事件
邮件没有明确说明发生了什么：异常登录、支付失败还是地址被修改？都没有。它只强调“验证不会改变您的资料”。
这就像陌生人敲门说：“为了楼宇安全，请把钥匙给我核实一下，我只是看看。”所谓“只是看看”不是身份证件。
公司名称、版权文字、礼貌的表达都可以复制。写得像真的，并不等于是真的。
2. @前面写了Amazon，也不代表去了Amazon
下面是已去活化、不能作为真实链接使用的结构示意：
https://看起来像amazon的文字[.]invalid@share[.]google/[已隐藏]
URL可以采用用户信息@主机的形式。@前面的品牌文字属于用户信息部分，不是目标网站的域名。这里的主机是@后面的share.google。MDN对这种URL结构有说明。[1]
攻击性的设计就在于视觉错觉：让人先看到熟悉的品牌名称，再忽略后面的真实主机。衣服上写着亚马逊，工作证却写着别人的名字。
3. share.google的确是Google的正规域名
这里不能把事情说错：share.google是Google应用所用的官方短链接域名，Google帮助中心对此有明确介绍。[2]
可正规短链接并不代表背后的每条分享内容都属于亚马逊。短链接还会遮住最终落点。我们没有打开这条具体链接，因此无法确认它最终跳往哪里，也无法声称看到了假登录页或实际发生了信息窃取。
已经能够确认的风险是：一封要求验证亚马逊账户的邮件，采用了非亚马逊主机、短链接和容易误导的@前品牌字符串。
4. 正式的落款不能证明邮件真实
邮件尾部的公司名称、版权声明、“请勿回复”和退订样式的链接，都可以被伪造。即使某个链接使用知名域名，也不能反过来为整封邮件背书。
我们也没有检查原始邮件头和发信认证记录；判断依据限于提供的文字和URL结构，不能假装完成了服务器取证。
5. 收到或点击后怎么处理？
尚未点击： 不打开验证和退订链接，改用自己的官方应用检查账户，并报告可疑邮件。
仅打开页面： 关闭页面，检查是否下载文件或安装了软件。点击本身并不必然意味着账户已经被盗。
输入过密码： 从独立的官方入口修改亚马逊密码，并更换其他网站重复使用的密码；检查多因素认证、订单与支付记录。
输入过银行卡资料： 通过银行或发卡机构的官方渠道尽快联系处理。美国FTC也建议不要使用意外收到的信息中附带的链接来处理账户问题。[3]
结论
这封邮件从措辞到落款都很像亚马逊，偏偏URL的@泄露了另一套身份信息。核验账户不需要参加“猜链接背后是谁”的游戏：直接打开官方应用即可。
