一起草登录与账号最容易忽略的1个开关：别再被相似域名骗了

一起草登录与账号最容易忽略的1个开关：别再被相似域名骗了

每天我们都在网上登录、付款、填写个人信息，攻击者靠相似域名（typosquatting、homoglyph、subdomain trick、Punycode 等）骗取账号密码，速度快、外观也很像，很多人一看就放心地让浏览器或密码管理器自动填写完事。其实只要一个“开关”被忽视，就很容易中招——那就是“自动填写/自动登录”(Auto-fill / Auto sign-in)相关的开关。

为什么只需要这一个开关就能防很多事？

• 攻击流程常常是先建一个长得很像的站点，然后等待浏览器或密码管理器把用户名和密码自动填进去。用户看到表单被填好，就以为安全，直接提交。
• 关闭自动填写后，即使攻击者搭了类似的域名，凭空拿不到你的账号；你需要主动从密码管理器里确认并手动填写，看到域名不对就能停止操作。
• 即便是同样的密码在多个站点被重复使用，这个开关也能把“无脑自动提交”的风险降下来很多。

该怎么做（一步到位） 把浏览器或密码管理器里的“自动填写/自动登录”关闭，改为手动触发填写。只要把这个开关关掉，你在登录页面上不会自动看到已保存的账号被直接填上——密码管理器仍然可以保存和填写，但需要你点击扩展或确认，顺便核对域名是否正确。

主要平台如何操作（简明方向）

• Chrome（桌面/手机）：设置 → 自动填充/密码 → 关闭“自动登录”(Auto Sign-in) 或关闭“自动填充密码”。
• Edge：设置 → 配置文件 → 密码 → 关闭“自动登录/自动填写”。
• Firefox：设置 → 隐私与安全 → 登录信息与密码 → 关闭“自动填写登录信息”。
• Safari（macOS/iOS）：偏好设置/设置 → 自动填充（AutoFill）→ 取消“用户名与密码/自动填充密码”。iOS 的“设置 → 密码”里也有“自动填充密码”开关。
• Android：设置 → 系统/语言与输入 → 自动填充服务，或在“设置 → 密码”里关闭自动填充。
• 密码管理器（1Password、Bitwarden、LastPass 等）：进入应用或扩展的设置，关闭“在页面加载时自动填充/自动登录”或把自动填充改为“仅手动触发”。如果有“只在完全匹配域名时自动填写”的选项，打开它；没有的话就把自动填充关掉，用点击扩展图标手动填。

注意核查哪些伎俩在骗你

• 子域名陷阱：evil.com/login/paypal.com 伪装成 paypal.com；点击地址栏看完整域名，真正域名在最后部分。
• Punycode（国际化域名）：例如用看起来相似的非 ASCII 字符替换拉丁字母，会在 URL 中以 xn-- 开头或看起来几乎一模一样。把浏览器地址栏点选，必要时复制到纯文本查看是否有异常。
• 同形字符（O 和 0、l 和 1、с（西里尔）和 c 等）：视觉上相似但不是同一字符。
• 假证书或无证书：看一下锁图标，点开证书信息确认是不是你预期的公司或受信任的 CA 签发。

额外的防护建议（把风险再压低一点）

• 使用主流密码管理器并习惯手动触发填写：手动填的同时你会看到扩展显示的域名和网站信息。
• 给重要账号开启双因素认证（2FA）：即便密码泄露，攻击者也难以登录。
• 定期更新浏览器和扩展：新版会修复已知的安全缺陷与钓鱼防护。
• 在可疑页面不上输入敏感信息，先打开新标签手动输入网站地址或从书签进入官方站点。
• 教育自己识别常见诈骗手法：多看几次类似案例，警觉性会提升很多。

最后一句话 把“自动填写/自动登录”这个开关关掉，至少在你还没确认网址完全无误之前，不要让浏览器或扩展替你做决定。几秒钟的手动确认，能避免很多后续麻烦。现在就去检查一下你的浏览器和密码管理器里的那个开关吧。