遇到一個不確定的網站，你通常怎麼判斷它是否可信？
很多人靠的是視覺印象，網站設計看起來專業就覺得沒問題，有 HTTPS 的鎖頭圖示就放心了。但詐騙網站的製作成本在今天已經非常低，一個外觀精緻、有 SSL 憑證的仿冒網站可以在幾個小時內建立完成，視覺判斷在這個環境下已經不夠可靠。 好消息是，判斷網站可信度有幾個具體的工具和方法，而且全部免費、不需要技術背景就能使用。
第一個工具：VirusTotal
網址：virustotal.com VirusTotal 是 Google 旗下的一個安全分析服務，可以讓你把一個網址提交給超過九十個不同的安全廠商的掃描引擎同時分析，看看有沒有廠商把這個網址標記為惡意或釣魚網站。 使用方式非常簡單，進入 VirusTotal 網站，切換到 URL 分頁，把你想查的網址貼上去，送出之後幾秒鐘就可以看到結果。 結果頁面會顯示每個安全廠商對這個網址的判斷，綠色代表未偵測到問題，紅色代表被標記為惡意，黃色代表可疑。如果有兩個以上的廠商把同一個網址標記為惡意，這是一個相當明確的警訊。 需要注意的是，如果一個網站是剛剛才上線的新詐騙網站，各廠商的資料庫可能還沒有更新，VirusTotal 的結果可能是全綠，但這不代表它就是安全的。VirusTotal 是一個很好的確認工具，但它的結果需要搭配其他方式一起判斷。
第二個工具：WHOIS 查詢
網址：who.is WHOIS 是一個查詢域名登記資訊的公開服務，可以讓你看到一個域名是什麼時候登記的、由哪個服務商管理、以及登記人的聯絡資訊（部分資訊可能因隱私保護而遮蔽）。 對於判斷詐騙網站，最有用的資訊是域名的登記日期。詐騙網站通常是新建立的，一個聲稱是某家知名品牌官網的網站，如果域名是在幾週或幾個月前才登記的，這個不一致本身就是一個明確的訊號。 真實的品牌官網，域名通常已經存在了好幾年甚至十幾年。如果一個網站聲稱自己是某個大型零售商或金融機構，但它的域名是三個月前才登記的，這個網站的可信度就有嚴重的問題。
第三個工具：Google 安全瀏覽狀態查詢
網址：transparencyreport.google.com/safe-browsing/search Google 的安全瀏覽服務是 Chrome、Firefox 和 Safari 背後的釣魚網站偵測機制，維護了一份已知惡意網站的資料庫。透過 Google 的透明度報告頁面，可以直接查詢任何一個網址是否在這份資料庫中被標記。 進入頁面後，把網址貼到搜尋列，送出後 Google 會告訴你這個網站目前是否被標記為不安全，以及最後一次掃描的時間。 這個工具的判斷基準，是 Google 的爬蟲主動掃描過這個網站，所以對於已知的詐騙網站覆蓋率很高，但對於剛上線的新網站同樣可能有延遲。
第四個工具：ScamAdviser
網址：scamadviser.com ScamAdviser 是一個專門評估網站可信度的服務，它綜合了多個維度的資訊，包括域名年齡、伺服器位置、網站流量、用戶評價，以及其他技術指標，給出一個信任評分。 把網址輸入 ScamAdviser 的搜尋框，可以看到一個信任評分數字，以及這個評分背後的主要依據，例如域名年齡太短、伺服器位於高風險地區、或是技術特徵與已知詐騙網站相似。 ScamAdviser 特別適合用來查詢陌生的購物網站或不熟悉的服務平台，它的評分邏輯比單純看 VirusTotal 的掃描結果更全面，也更適合一般使用者理解。
第五個工具：SSL 憑證與域名的細節確認
這個方法不需要任何外部工具，直接在瀏覽器裡就可以完成。 點擊網址列旁邊的鎖頭圖示，選擇憑證或連線安全，可以查看這個網站的 SSL 憑證詳情，包括憑證是由哪個機構簽發的、憑證涵蓋的域名，以及憑證的有效期限。 對於官方網站的判斷，需要特別注意的是憑證涵蓋的域名是否與你在網址列看到的完全一致。詐騙網站有時候會使用包含目標品牌名稱的子域名，例如 google.phishingsite.com，這個網址看起來包含了 Google，但真正的域名其實是 phishingsite.com，憑證確認的也是這個域名而不是 Google。 域名本身的細節同樣值得仔細看，常見的仿冒手法包括使用視覺上相似的字元替換，例如用數字 0 替換字母 O、用字母 l 替換數字 1，或是在官方域名後面加上看起來像官方的詞彙，例如 paypal-secure.com 或 apple-support-id.com，這些都不是真正的 PayPal 或 Apple 域名。 延伸閱讀：HTTPS 是什麼？為什麼網址前面的小鎖不代表網站一定安全
關於網站查驗，使用者最常問的幾個問題
五個工具都查了但結果不一致，應該相信哪一個？
當不同工具給出不同的結果，比較安全的做法是把最保守的那個判斷當作基準。如果 VirusTotal 顯示有廠商標記為惡意，即使 ScamAdviser 的評分還算正常，這個網站就值得保持高度懷疑。 另外，WHOIS 查到的域名登記時間如果非常短，即使所有掃描工具都顯示正常，這個不一致仍然是一個不應該忽視的訊號。可疑的跡象只要出現一個，就值得停下來，不要因為其他工具結果正常就完全放心。
一個購物網站要求我在付款前先轉帳，這樣查得出來嗎？
網站查驗工具主要評估的是網站本身的技術特徵和資料庫紀錄，無法直接判斷一個網站的商業行為是否誠實。但這個要求本身，要求轉帳而不是使用信用卡或第三方支付，是一個和工具查驗結果無關的明確警訊。 正規的電商平台幾乎不會要求買家直接銀行轉帳給個人帳戶，這個要求無論網站的技術特徵如何，都應該讓你停下來重新評估。
這些工具可以用來查 App 嗎？還是只能查網站？
這五個工具主要針對網站和網址設計。VirusTotal 可以查詢 APK 檔案或應用程式的安裝包，把檔案上傳到 VirusTotal 進行分析，可以看到各安全廠商的掃描結果。 對於 App 的可信度判斷，比較直接的方式是確認 App 是否在 Google Play 或 Apple App Store 的官方商店上架，查看評價和下載量，以及確認開發者的名稱是否與官方一致。從非官方管道下載的 APK 檔案，可以透過 VirusTotal 進行掃描，作為安裝前的基本安全確認。
One Key Takeaway： 判斷一個網站是否詐騙，不需要靠直覺，VirusTotal、WHOIS、Google 安全瀏覽、ScamAdviser，加上瀏覽器內建的 SSL 憑證確認，五個工具組合使用，幾分鐘內就可以對一個不確定的網站有相當具體的了解。