收到一封自稱來自Amazon.co.jp的郵件，說為了維護帳號安全，需要點擊連結確認。措辭客氣、公司名稱完整，連著作權聲明都準備好了。看起來像客服部門交出的一份漂亮公文。
但問題出在網址真正的主機並不是Amazon。遇到這種郵件，應高度懷疑是網路釣魚，別透過信內連結登入。請自行開啟官方App或原本信任的網站。
1. 說有重要事情，卻不說發生什麼事
郵件只提到「重要通知」與「安全確認」，沒有交代異常登入、付款失敗或帳號設定變更等具體原因，接著就要求登入。
「只是確認、不會修改資料」聽起來很安心，但不等於可信。就像陌生人說要為了社區安全借看一下你的鑰匙；說得有禮貌，仍然沒有證明他是管理員。
公司的正式名稱、商標和法律聲明都能被複製。排版精美不是身分驗證。
2. @前面的Amazon文字，不是網站所在地
以下是經過去活化的示意網址，不可拿來連線：
https://看似amazon的字串[.]invalid@share[.]google/[已移除]
網址可以採用使用者資訊@主機的結構。此時@前的品牌字串位於使用者資訊部分，並非網站主機；@後面的share.google才是這個範例的主機。MDN的技術文件有解釋這項語法。[1]
這種做法是在賭讀者只看開頭。彷彿有人穿著Amazon制服，胸前卻掛著別家公司的識別證。
3. share.google真的屬於Google
值得分清楚的是，share.google是Google App使用的合法短網址網域，Google官方說明可以佐證。[2]
問題不是「Google網域是假貨」，而是自稱Amazon的帳號確認信卻搭配Google短網址與容易誤認的@前字串。短網址的最後轉址位置不能只看郵件文字得知。
我們沒有打開這條特定短連結，因此不能斷定最後出現的是假登入頁，更不能宣稱已有個資外洩。可以確定的是：這種誘導方式已經非常可疑。
4. 署名與取消訂閱不等於認證
信尾的版權、公司名、「請勿回覆」與取消訂閱連結，都只是容易複製的文字。出現知名網域也不會自動證明整封郵件出自真正的公司。
本次也沒有查驗原始郵件標頭與寄件驗證紀錄；分析範圍只涵蓋提供的內容與網址結構。
5. 收到或點過該怎麼辦？
還沒點： 不使用郵件內的登入或取消訂閱連結，改從官方App檢查帳戶，並檢舉可疑信件。
只有開啟頁面： 關閉頁面、檢查有無下載或安裝未知程式；單純點擊不代表已確認帳號遭盜。
輸入密碼： 從自己信任的官方入口變更密碼，更換其他重複使用的密碼，開啟多因素驗證並查看訂單與付款紀錄。
輸入信用卡資訊： 立即透過發卡機構官方管道聯繫處理。美國FTC也建議，遇到突如其來的帳號通知，應自行聯絡真正的企業。[3]
結論
這封信的語氣像Amazon，法律聲明像Amazon，偏偏網址的@說了另一個故事。真正的確認方法不是猜謎，而是自己走官方入口。
