為何超過半數釣魚網站使用 SSL？

PhishLabs 近期研究顯示，現時超過 50% 的釣魚網站使用SSL/TLS 證書。考慮到釣魚網站的核心目的就是讓用戶將其誤認為所仿冒的正規網站，這一現象並不意外。釣魚網站與真實網站的相似度越高，其詐騙效果就越好。部署 SSL 證書後，網址前會顯示鎖形圖標並使用 https 協議；如果沒有這兩項特徵，用戶很容易識別出網站不可信。

正如Brian Krebs所指出，二十多年來，一般互聯網用戶一直被教導要「留意鎖形圖標」，因此這種手段確實可能讓更多用戶落入這類詐騙陷阱。

值得慶幸的是，我們完全有能力改善這一狀況。業界已有成熟的解決方案，該方案已獲相關標準機構批准，得到主流瀏覽器支援，且已投入實際應用。這就是域名驗證型（DV）證書，在主流瀏覽器中，這類證書會在網址旁顯示企業專屬標識名稱。與釣魚網站使用的、完全不經過企業身份認證的域名驗證型（DV）證書不同，EV 證書地址欄中顯示的企業名稱，是經過已知有效認證流程核實的。

遺憾的是，儘管升級為 EV SSL 證書僅需消耗極少的額外時間和成本，仍有大量網站未完成部署。如果近年來各大網站都系統性地部署了 EV SSL 證書，釣魚攻擊的有效性會大幅降低。當然，釣魚者仍會在其網站上部署 DV 證書，但仿冒網站無法顯示真實企業的名稱標識。

現在行動為時未晚。研究顯示，對於在網站中使用品牌標識地址欄的企業，訪客會對其品牌產生更正面的印象，也更願意在這類網站上進行交易操作，包括購買商品、填寫表單、註冊新帳戶等。目前使用企業專屬「綠色」地址欄的企業已經享受到上述收益，同時還額外獲得一項優勢：可以讓自身的正規網站與釣魚仿冒網站形成明確區分，避免用戶混淆。