甚麼是錯字域名仿冒（Typosquatting）？

錯字域名仿冒（Typosquatting）是註冊或使用與另一個域名相似的域名，利用人們可能的打字、閱讀或拼寫錯誤。一個人少打一個字母、調換兩個字元、按到相鄰按鍵，或信任一個幾乎正確的連結，就可能進入這個仿冒域名，而不是想去的網站。

仿冒域名可能展示廣告、模仿登入或付款頁面、分發軟件、轉往別處，也可能只是停放。背景很重要：並非每個錯字域名都是惡意的，單憑拼寫錯誤也無法證明是誰註冊、目的為何。實際的保安問題是：這個可註冊域是否屬於你想瀏覽的那個機構。

關鍵要點

• 讀出可註冊域，而不只是熟悉的字詞、標誌、子域名或搜尋結果標題。
• 常見變體包括刪除、插入、替換、相鄰按鍵錯誤和字元調換。
• Typosquatting 與釣魚和品牌濫用有重疊，但與同形字（homograph）攻擊或廣義的搶註（cybersquatting）並不相同。
• 訪客應離開網站、改走可信途徑；品牌方應先保存證據，再向註冊商、寄存商、平台或適當的爭議程序報告。

錯字域名仿冒怎樣運作？

攻擊者或投機註冊者預測熱門域名附近的常見錯誤，並註冊仍未被佔用的變體。這些域名能吸引直接輸入網址的人，也可能被放進電郵、短訊、QR code、社交帖文、客戶支援回覆或贊助搜尋結果。受害者不必親手打錯字，發送者可能直接提供了錯字連結。

CISA 和 FBI 說明了仿冒域名如何令看似官方的通訊和網站更具說服力。他們的指引強調掌控可信的政府域名，因為視覺相似和熟悉的命名否則會帶來冒充風險。［1］同一原則普遍適用：認得出的字詞並不能證明擁有權。

錯字網站可能立即複製預期的品牌、經多層頁面轉址，或等候特定訪客。它可能收集用戶名稱、付款資料、復原碼或誘使下載。另一些域名則展示無關廣告或掛牌出售。因此域名模式是一個警號，而不是完整的結論。

常見錯字模式有哪些？

具體變體取決於拼寫、鍵盤佈局、語言和頂級域名，但有幾種模式經常出現。

模式	改動了甚麼	以 example.com 為例
刪除	少了一個字元	exmple.com
插入	多了一個字元	exammple.com
替換	一個字元被替換	examp1e.com
相鄰按鍵	按到鍵盤上鄰近的鍵	rxample.com（QWERTY 鍵盤）
字元調換	兩個相鄰字元次序互換	examlpe.com
連字號或分詞	標點改變視覺節奏	exam-ple.com
不同後綴	同一標籤用在另一個公共後綴下	example.net

這些只是例子，並非偵測公式。正當企業可能持有防禦性變體、地區域名或活動域名；另一家公司也可能合法使用相似的常用字。反之，攻擊者也可使用沒有明顯錯字的域名，靠誤導性的子域名或頁面標題行騙。

FBI 亦警告，輕微的拼寫變體可能與仿冒員工自助網站的贊助搜尋結果一起出現。［2］

甚麼是可註冊域，怎樣找到它？

可註冊域是註冊者在公共後綴之下控制的部分。在 login.example.com 這類簡單網址中，example.com 是可註冊域，login 是子域名。欺騙性網址可把可信的名稱放在左邊，例如 brand.security-check.example.net，而真正的可註冊域是 example.net。

先識別 URL 中的主機名稱，忽略其後的路徑、查詢參數和片段。然後找出公共後綴，以及緊貼在它前面的標籤。公共後綴可能包含多於一段，所以總把最後兩段當作註冊域的猜測並不可靠。瀏覽器和密碼管理工具已在使用持續維護的公共後綴資料；一般用戶通常可改用已儲存的書籤或官方 App，免去手動解析。

不要把 HTTPS 或鎖形圖示當作擁有權證明，它只表示與所顯示域名的連線已加密。也要把主機名稱與路徑文字分開：example.com.account-check.example.net 的可註冊域是 example.net，而 unrelated.test/example.com 的主機名稱是 unrelated.test。

它與 homograph、cybersquatting 有何不同？

Typosquatting 着眼於可能的錯誤和相近拼寫。同形字攻擊使用外觀相似的字元，這些字元可能來自不同文字系統，技術上卻並不相同。URL 釣魚的範圍更廣：它涵蓋各種欺騙性連結和 URL 結構，不論可註冊域有沒有錯字。

搶註（cybersquatting）是法律和政策概念，通常指涉及商標的惡意註冊或使用。ICANN 說明，其統一域名爭議解決政策（UDRP）為特定爭議提供行政程序，投訴人必須證明特定要件。［3］一個古怪或相似的域名並不會自動符合這些要件，爭議程序也有別於緊急的惡意軟件下架。

名稱	主要特徵	單憑它不能證明甚麼
Typosquatting	變體利用可能的打字或拼寫錯誤	惡意意圖或商標權利
同形字	不同字元在視覺上相似	受害者是否親手輸入網址
搶註	聲稱有涉及權利的惡意域名註冊	所有相似域名都違法
URL 釣魚	連結或頁面欺騙收件人	域名必定有錯字

這些標籤可以重疊。用於假登入頁的錯字域名，可能同時屬於 Typosquatting 和釣魚。證據應描述域名、內容、傳遞途徑和所要求的動作，而不是只倚賴一個標籤。

檢查可註冊域時，應怎樣判斷可疑域名？

在登入、付款、下載或致電頁面上的號碼之前先停下。把完整的可註冊域與書籤、官方 App、結單、產品包裝或其他你已信任的來源比對。不要用可疑頁面上的聯絡連結來核實它自己。

搜尋廣告尤其要小心。FBI 警告，犯罪分子會仿冒員工自助網站，並利用贊助搜尋廣告或輕微拼寫變體竊取憑證和資金。排名靠前或標示「贊助」，只說明這個位置是買回來的，並非身份核實。登入帳戶和下載軟件時，請輸入已知域名或使用已儲存的官方入口。

留意密碼管理工具是否出現不符。若平時在真實域名上會自動填入憑證，這次卻沒有出現，就停下來，不要強行填入表格。在獨立開啟的帳戶內查看是否有同一任務；如那裏沒有相應的通知、帳單、密碼重設或訊息，就舉報原本的連結。

瀏覽錯字域名後應怎樣處理？

按實際發生的情況應對。單單看到頁面，與交出機密或執行軟件並不相同。

暴露	即時行動	後續
只看到頁面	關閉它；不使用其中的支援或下載連結	向被冒充的機構或傳遞平台舉報該網址
輸入了憑證	在真正網站更改密碼並撤銷工作階段	所有其他重用該密碼的服務都要改密碼，並檢查復原資料、轉寄和登入紀錄
輸入了付款或身份資料	用可信號碼聯絡銀行或相關供應商	監察帳戶、保留紀錄，並按當地指引舉報詐騙
下載或執行了內容	停止在該裝置進行敏感操作，刪除陌生下載	執行可信檢查；如可能已被入侵，從乾淨裝置保護帳戶

如你只是輸入了網址，而瀏覽器在載入前已攔截，可能毋須再作補救。如自動開始了下載，找到檔案但不要開啟，直接刪除。如曾授予通知、擴充功能、描述檔或應用程式權限，請逐一撤銷。

品牌方可以怎樣處理仿冒域名？

在內容改變之前保存證據：完整網址、日期時間、頁面內容、傳遞訊息、轉址，以及由獲授權專業人員收集的證書或 DNS 細節，還有任何交易或濫用編號。不要提交真實憑證，互動不要超出記錄舉報所必需的範圍。

選擇與損害相符的途徑。搜尋引擎或社交平台可審查惡意廣告或帳戶；寄存商可調查釣魚內容；註冊商接受域名濫用舉報，但未必控制所寄存的頁面；商標權利人可在合資格法律意見下考慮 UDRP 或訴訟。向任何一方舉報都不能保證即時暫停。

防禦性註冊可減少少數高風險變體帶來的暴露，但沒有機構能註冊所有拼寫、後綴和文字系統的組合。監察、可預期的官方域名、電郵認證、快速舉報和清晰的客戶指引更為持久。網絡安全指南、釣魚網站識別和 WWW2 網址的說明提供相關檢查方法，而不會把每個陌生主機名稱都當作惡意。

總結

錯字域名仿冒利用相似域名，從錯誤或錯放的信任中獲利。最有力的日常防禦，是識別可註冊域，或乾脆繞開可疑途徑，改用書籤、官方 App 或自行輸入的網址。錯字是需要核實的理由，而不是犯罪的自動證明。如已發生暴露，請按實際操作保護帳戶、付款方式或裝置，並為相應的平台或域名濫用途徑保存證據。

常見問題

所有拼錯域名都是惡意的嗎？

不是。它可能是防禦性註冊、無關的合法名稱、停放域名或廢棄項目。把拼寫當作警號，再綜合評估擁有權、內容、傳遞方式和所要求的動作。

錯字域名網站可以使用 HTTPS 嗎？

可以。HTTPS 證書很容易取得，它證明的是對所要求域名的控制，而不是與所模仿品牌的關係。

把 .com 換成別的後綴算 Typosquatting 嗎？

它可能是仿冒策略的一部分，但如何歸類取決於背景。不同機構可以合法地在不同後綴下使用同一個字。

搜尋結果第一名能證明是官網嗎？

不能。那可能是廣告、被操控的排名，或標題與品牌相似的頁面。登入和下載請使用可信的官方入口。

密碼管理器不填入怎樣辦？

停下來檢查真實域名，經書籤或 App 開啟服務。不要只為繞過不符而貼上密碼。

註冊商能刪除仿冒網站嗎？

註冊商可按其政策調查舉報，但寄存、內容和註冊是不同層面。結果取決於證據、合約、政策和適用法律。

企業應註冊所有可能的錯字嗎？

通常做不到。應優先處理最可能出現且損害最大的變體，再把有選擇的註冊與監察、清晰的官方域名指引和快速舉報結合。

舉報時要保留哪些證據？

保留完整網址、時間、原本訊息或廣告、頁面截圖、在安全情況下收集的轉址資料，以及對財務或帳戶的任何影響。不要只為收集更多材料而重新瀏覽網站。

本文提供一般保安資訊，不構成有關域名權利或爭議的法律意見。

來源

1. CISA and FBI — https://www.cisa.gov/sites/default/files/2024-04/CISA-FBI-The_.gov_Domain-Helping_Mitigate_Election_Office_Cybersecurity_and_Impersonation_Risks_v2_508c.pdf
2. FBI — https://www.fbi.gov/investigate/cyber/alerts/2025/cybercriminals-impersonating-employee-self-service-websites-to-steal-victim-information-and-funds
3. ICANN — https://www.icann.org/resources/pages/cybersquatting-2013-05-03-en

Sources checked 2026 年 8 月 28 日。