你点开那个链接的打开时候，可能只犹豫了半秒。外部网站页面加载出来，风险看着挺正常，提示一个登录框，打开或者一篇标题挺吸引人的外部网站文章。你输入了手机号，风险或者只是提示滑动着看了几眼。三天后，打开你收到一条短信，外部网站说你的风险账号在异地登录了。你才想起来，提示那个网站，打开你根本不认识。外部网站

这种事我遇到过。风险去年帮一个亲戚处理手机扣费的问题，查来查去，根源是他半年前在一个“看视频领红包”的网站上填了手机号。网站做得有模有样，甚至还有客服弹窗。填完号码，红包没领到几毛，手机号却被卖了三手。运营商那边查不到源头，只能把增值业务一个个退订。费了挺大劲，钱没追回来多少，时间搭进去不少。

打开外部网站的风险，多数时候不是立刻爆炸的。它更像慢性毒药。你访问一个来路不明的链接，页面可能只做了两件事：加载一个看不见的脚本，读取你浏览器里存着的其他网站Cookie。有些网站的登录状态是共享的，一个不起眼的小站，能通过技术手段拿到你在其他平台的会话信息。你什么都没输入，账号却已经被操控了。

还有一种更常见的，是钓鱼页面。做得跟真的一模一样。你从搜索引擎点进去，网址差一个字母，页面布局、配色、甚至客服头像都照搬。你输入账号密码，它提示“网络错误，请重试”。你再输一遍，还是错误。这时候真网站那边，你的密码已经被改掉了。整个过程不到两分钟。

我自己的习惯是，看到不熟悉的域名，先看它有没有HTTPS。那个小锁图标不是万能的，但没有它，连基本的加密传输都做不到。数据在网络上裸奔，谁都能截。再看域名注册时间，很多诈骗网站是批量注册的，寿命就几周。用一些公开的WHOIS查询工具，能看出不少问题。

手机上的风险更大。App里内嵌的浏览器打开外部链接，地址栏经常被隐藏。你根本不知道自己在访问哪个网站。有些App会拦截链接，弹窗问“是否在浏览器中打开”，很多人嫌麻烦直接点“继续”。那个“继续”背后，可能是完全不受控的页面。安卓系统尤其要注意，有些网站会诱导下载APK，装完就是一个窃听器。

企业内网也不是保险箱。我见过一个案例，员工在个人邮箱里点了一个“会议邀请”链接，页面要求输入企业邮箱密码来查看日程。他输了。攻击者拿到凭证，直接登录公司VPN，横向移动，两周后数据被加密勒索。整个链条的起点，就是那个看起来人畜无害的链接。

怎么判断一个外部网站能不能点？我的土办法是，先看它有没有明确的运营主体。页面底部有没有公司名称、备案号、联系方式。再搜一下这个域名，看看有没有人讨论过它。如果搜不到任何第三方信息，只有它自己的官网，那就要小心。还有，任何要求你输入密码、验证码、身份证号的页面，只要不是你自己主动发起的操作，一律关掉。

浏览器其实给了不少提示。地址栏左边那个感叹号或者“不安全”字样，不是摆设。有些浏览器会直接拦截已知的钓鱼网站，弹一个红色警告页。很多人习惯性点“忽略”，那个按钮就是给钓鱼网站留的后门。

说到底，打开外部网站这件事，风险不在于技术多高明，而在于你愿不愿意花十秒钟看一眼地址栏。十秒钟，能挡掉九成以上的麻烦。剩下的那一成，靠的是不贪心。那些“免费领”“限时抢”“内部通道”，点进去之前先问自己一句：凭什么是我？

我现在的做法很简单。不认识的链接，先复制到记事本里，看看域名结构。奇怪的二级域名、乱码路径、短链接，一律不点。真要访问，用浏览器的无痕模式打开，不登录任何账号。看完就关。这个习惯救过我几次。有一次一个伪装成快递查询的页面，在无痕模式下直接暴露了——它试图读取我的本地存储，被浏览器拦了。

风险提示不是让你别上网。是让你知道，每一次点击，都是一次信任投票。投给谁，你自己得清楚。