导语（80-120字）：越来越多钓鱼邮件伪装成“官方通知”，域名只差一两个字符，发件人名称与头像也仿真，甚至附带伪造的工单号与签名。本文拆解相似域名和伪装发件人的常见套路，提供核验原则，帮助你在打开链接前就识别风险。
背景与现象
攻击者批量注册相似域名或使用已被入侵的合法邮箱，发送“订单更新”“安全提醒”“发票补发”类邮件；邮件中嵌入短链或二维码，引导到高仿页面索取验证码、助记词或下载补丁。
部分邮件还伪造 SPF/DKIM 显示为“通过”，让用户误以为完全可信；而真正的可疑点往往藏在域名细节与链接跳转中。
常见伪装点（3-5段）
1）相似域名：多/少字母、用数字/横线替换字母、二级域名插入“ledger-support”等词；回复地址与显示地址不一致。
2）发件人显示名：使用“Ledger 官方”“安全团队”字样，并附带下载按钮或二维码；邮件签名中可能夹带假电话或假工单号。
3）链接与附件：短链跳转多次、附件为 .zip/.exe/.html；官方邮件不会分发固件或要求安装浏览器扩展。
4）文案与格式：常伴随“立刻处理”“账户冻结”“退款即将失效”等催促语；排版粗糙或混用多语言，时区/日期格式异常。
5）回信诱导：要求直接回复“验证码/助记词”，或让你在聊天工具继续沟通以“更快处理”。
常见误区/问答（3-5条）
问：看到 DKIM/SPF 通过就一定安全吗？
答：不一定，入侵的合法邮箱也可能通过验证，仍需核对域名与链接。
问：邮件里的“点击修复”按钮可用吗？
答：不要点击，改为手动输入官方域名或在官方应用内查看公告。
问：附带 PDF/ZIP 是否意味着正规？
答：官方不会用附件分发补丁或收集密钥，附件可能是诱导或恶意文件。
问：回复邮件提供验证码安全吗？
答：验证码、助记词、私钥均不得通过邮件发送，官方不会索取。
原则级建议（2-3段）
1）收件后先看域名与链接跳转，任何与 ledger.com 不一致的地址直接判为高风险；短链先在离线环境查看真实跳转再决定是否访问。
2）敏感操作只在官方应用或官网完成，不在邮件按钮或附件里输入任何密钥、验证码或登录凭据；有疑问先在官方支持入口核验工单号。
3）保留邮件头、时间戳与链接截图，若确认钓鱼立即在可信设备更换相关账号密码，并向官方报备以便封堵。
风险提醒：凡要求密钥、验证码或下载补丁的邮件都可直接视为钓鱼，立即关闭。你收到过最逼真的“官方邮件”是什么样？
