虚假域名续费发票与“您的域名已过期”邮件：如何识别骗局

一封邮件突然出现，说域名即将到期，还附上一个"立即续费"的链接。很容易以为这种骗局只会骗到粗心大意的人，但这类邮件的整个设计，瞄准的其实是一个忙碌、理智、正快速清理收件箱的普通人，而不是专门针对谁的疏忽。它看起来很紧急，里面写着正确的域名，甚至可能做得很专业。这种虚假域名续费通知是一种有据可查、持续存在的诈骗手法——安全研究人员在 2026 年又发现了新一轮此类邮件——它们之所以奏效，正是因为模仿了域名持有人迟早会真正收到的那封邮件。下面说明如何区分真假续费邮件、哪些其他域名骗局经常和它结伴出现，以及一旦有这种邮件进入收件箱，具体该怎么做。

这类骗局邮件通常长什么样

具体细节各不相同，但模式足够一致，容易识别：

• 紧迫措辞。"立即处理""您将失去域名"之类的说法，目的就是在任何人停下来仔细核对细节之前，先促成一笔付款。
• 听起来正式、但并非真正注册商的名称。邮件里提到的公司名称可能听起来很合理，有时甚至带有专业的品牌设计，但和域名实际注册的那家公司对不上号。
• 小字免责声明。有些版本会在小字里写着"这不是账单"，而邮件的其余部分却写得和真正的账单一模一样，这是一种在看起来像真实发票的同时规避责任的手法。
• 伪造的"查询"页面。点击链接后，有时会跳转到一个看似正在实时查询 WHOIS 记录的页面——"正在连接注册局""正在获取记录"——然后再显示出域名信息，纯粹是为了让整件事看起来更可信。
• 通用的称呼。用"尊敬的域名所有者"而不是注册资料上的真实姓名——真正的注册商系统早就清楚知道它到底在向谁收费。
• 不寻常的付款方式或链接。付款页面托管在与发件人自身域名毫无关系的地方，或者索要银行卡信息的方式，与真正注册商平常的收费方式对不上。

这份清单里任何单独一项，都不能单凭自身证明是诈骗——真正的邮件偶尔也会用上听起来紧急的措辞。真正暴露问题的，是这些信号的组合，尤其是发件人与实际注册商之间的不匹配。

实例解析：一封 2026 年骗局邮件的解剖

一个典型版本大致写着："域名服务通知——您的域名 [yourdomain.com] 即将到期注册。立即续费，以免失去您的网站和邮箱。"域名名称确实是对的，这让邮件显得个人化、具有针对性，而不像群发邮件——但域名本身按设计就是公开信息，所以写对域名并不能证明发件人是谁。标题下方通常是一个颜色鲜艳的"立即续费"按钮，一句倒计时式的"剩余天数"说法，而在部分版本中，还有一行写着"这不是账单"的小字，被刻意放在页面很靠下、很容易被忽略的位置。

让 2026 年这一轮邮件格外难以凭直觉识破的是，许多邮件现在都借助 AI 撰写——英文读起来流畅自然，排版看起来专业，语气也能很贴近真正注册商的风格，而这些在几年前那些写得比较笨拙的骗局邮件身上，并不总是成立。识别的关键，已经从"找出蹩脚的文笔"转移到"核实发件人和事实"，而这正是下面的对比和步骤要重点说明的内容。

真实续费邮件与骗局邮件一览对比

这些信号单独来看都不难伪造，这正是为什么独立核实发件人并自行登录——而不是单凭邮件的语气或设计来判断——才是真正靠得住的做法。

其他域名相关骗局——以及为什么 WHOIS 让马来西亚企业容易成为目标

虚假续费发票是最常见的一种，但同样的套路会以不同的名目出现：

• 未经请求的转移通知。邮件声称您的域名正在被转移，或者"将被竞争对手抢走"，除非立即采取行动，目的是诱发一次慌乱的点击，而这个点击实际上会授权一次真正的未经授权的转移。
• 目录收录或 SEO 提交发票。通知提出以一次性或年度费用，将您的企业、域名或商标收录进某个"登记处"或搜索目录，把这项其实是可选、价值有限的服务，包装成一项强制性的官方申报。
• 商标或企业名称"保护"通知。信函警告有第三方正尝试注册与您名称相似的名字，并要求付费来"保全"或"保护"它，借用官方商标申报的外观来收取一笔不必要的费用。
• 伪造的"账户已暂停"通知。邮件声称与该域名关联的主机或邮箱账户因账单问题被暂停，诱导收件人通过某个链接"恢复访问"，而这个链接实际上是在窃取登录凭据，并不能解决任何问题。

如果一家企业已经遇到过其中一种，就应该预料到迟早会遇到其他几种，因为一旦某个域名名称出现在某份诈骗名单上，往往会被转售或共享给其他使用不同套路的诈骗者。

这些手法都依赖同一种原材料：域名的注册信息默认记录在可公开查询的 WHOIS 记录里，诈骗发送者经常直接抓取这些记录，或者干脆根据域名本身猜测可能的联系地址，以此大规模构建目标名单。马来西亚企业的 SSM 注册信息和域名 WHOIS 记录，默认情况下都属于可被查到的公开信息，这正是为什么收件箱里出现一封诈骗邮件，并不一定意味着什么东西被入侵了——它很可能只是说明这个域名和互联网上所有其他域名一样，注册信息是公开可见的。下文会进一步介绍的 WHOIS 隐私保护，正是针对这种特定暴露面的直接应对办法。

发件地址通常是第一个破绽

一家自称全天候提供专业注册服务的公司，却用一个普通的免费邮箱地址发送账单通知，这本身就是一个强烈的异常信号——正规注册商的账单通信，来自它自己的域名，而不是一个通用邮箱。值得真正去核对完整的发件地址，而不是只看显示名称，因为显示名称可以随意填写，与邮件实际的来源毫无关系。

独立核实，绝不要通过邮件本身来确认

最可靠的做法只有一个：完全无视邮件里的每一个链接和按钮，打开浏览器，自己手动输入域名实际注册商的网址——而不是邮件里提到的任何地址。直接在那里登录，查看真实的到期日期。如果和邮件里声称的对不上，那封邮件就是假的。这只需要两分钟，就能彻底解决疑问，完全不需要盯着邮件本身去找线索。

域名锁定与自动续费：持续有效的防护

域名锁定可以防止域名在未经所有者明确授权的情况下被转到另一家注册商——而未经授权的转移，正是部分骗局在一张看似可信的发票背后真正想触发的结果。只要锁定开启，即便付款已经完成，转移也无法实现。而自动续费则从另一个角度消除了诈骗邮件赖以制造紧迫感的那个真实到期节点——一个每年自动续费的域名，永远不会出现一个真正"即将到期"的时刻，让诈骗邮件可以拿来令人信服地模仿。

一旦发现骗局邮件，应该立刻做什么

1. 不要点击邮件里的任何链接或按钮，包括"退订"链接——点击它主要只是向发件人确认您的地址是活跃且有人在看的。
2. 打开新的浏览器标签页，自己手动输入真正注册商的网址，然后登录，在那里查看域名真实的状态和到期日期。
3. 举报或删除该邮件，使用收件箱自带的垃圾邮件或钓鱼举报功能，帮助您邮箱服务商的过滤系统更快识别下一波同类邮件。
4. 趁着已经登录账户的时候，检查域名锁定是否已经开启，因为这是防止这类骗局常常企图触发的转移行为的最有效单一保护。
5. 提醒其他参与管理该域名的人——同事、网页设计师、会计——因为同一波诈骗邮件通常会发送给与该企业相关的所有地址，而不只是一个收件箱。

如果已经付款，该怎么办

立即联系银行或信用卡机构，报告这笔款项并询问能否办理拒付，因为这几乎都是欺诈性收费，背后根本没有提供过任何真实服务。然后直接登录您真正的注册商账户，确认域名的实际状态和到期日期没有受影响，并出于谨慎更改该账户的密码——同一封诈骗邮件很可能也是在钓取这些登录信息，而不只是索要一笔付款。

常见错误

• 点进去"只是看看"邮件里提供的是什么。即使只是打开链接页面、没有填写任何信息，也可能向发件人确认这个地址是活跃的，招来更多类似的骚扰。
• 凭邮件看起来有多专业来判断真假。既然现在很多骗局都借助 AI 撰写，设计水准和流畅的文笔已经不再能区分真假；只有发件人真实的域名，以及独立的登录核实，才靠得住。
• 以为收到诈骗邮件就意味着账户被入侵。这类邮件大多数只是依据公开的 WHOIS 数据发送，根本不涉及任何入侵行为。
• 让域名锁定一直处于关闭状态，因为注册时从未主动开启过，使得这个能阻止未经授权转移的关键设置形同虚设。
• 让企业里只有一个人能看到与续费相关的邮件。如果这个人休假或离职，就没有其他人能分辨真正的续费提醒和伪造的提醒，甚至根本察觉不到一波诈骗邮件的存在。
• 先付款，后核实。一旦银行卡扣款完成，能否追回完全取决于银行的拒付流程，这比在付款前先核实对方的说法要慢得多，也没有那么有把握。
• 用诈骗邮件里印的电话号码来"确认"它。邮件里的号码通常就是骗子自己的电话，而不是注册商的；应该独立查找注册商的官方联系方式来核实。

Gotka Technologies 在其中的角色

以上这些核查都不需要任何技术背景——整套方法的核心，就是始终信任注册商自己的登录页面，而不是邮件里声称的任何内容，不论某条信息看起来有多可信，都没有例外。

Gotka 的域名注册服务标配域名锁定和隐私保护，并附带免费转入，起价为 RM10/年——这两项防护，正是应对这类骗局最重要的两道屏障。而首先弄清楚您真正的注册商是谁，正是我们在究竟是谁真正拥有您的网站这篇指南中讨论的内容，也是防范虚假续费通知混入收件箱的另一半功课。

本指南中的关键术语

• 注册商：域名实际注册并付费的公司，也是真正的续费通知唯一应该来自的地方。
• WHOIS：公开记录域名注册信息的数据库，诈骗发送者会抓取其中的信息，用来构建虚假续费及其他域名骗局的目标名单。
• 域名锁定：注册商层面的一项设置，在账户持有人明确授权之前，阻止域名被转移到其他注册商。
• 隐私保护：一项注册商服务，用于防止注册人的个人联系方式出现在公开的 WHOIS 记录中。
• 自动续费：一项设置，在域名到期前使用已登记的付款方式自动完成续费，从而消除诈骗邮件所依赖的那个硬性到期节点。
• 钓鱼（phishing）：通过冒充可信发件人，诱骗某人泄露登录信息或进行付款的行为，许多虚假续费邮件正是这种手法的一种具体形式。
• 拒付（chargeback）：通过持卡人银行申请撤销一笔银行卡付款，是支付了欺诈发票之后常见的追回途径。