这个域名看起来像 QQ，但它根本不是
下面两个字符串，肉眼几乎一模一样。它们只差「字符本身」。
「զ」是亚美尼亚字母 za（U+0566），「q」是拉丁字母（U+0071）—— 在等宽与常规字体下形状几乎一致。
看一眼地址栏
老浏览器照原样显示；现代 Chrome / Firefox 会降级成 Punycode
下面的模拟地址栏演示「没有防护时会看到什么」。
现实：现代浏览器会降级显示（但不拦截）
Chrome 会把地址栏降级为 Punycode
我们实测（Chrome 155 / Firefox / Edge，隔离配置；直接输入网址与真实点击链接进入，表现一样）：地址栏显示的是 xn--39aa.com（Punycode），而不是 զզ.com。机制是浏览器的「整脚本易混」防护 —— 整个标签全是亚美尼亚字母、又用了 .com（不是亚美尼亚语 TLD），骨架还与热门域名 qq.com 重合，于是被降级。这只是「改显示」，不是拦截：站点照常打开。Chrome 另有一套独立的 Lookalike 警告（低置信度时可能弹「你是否要找 qq.com？」气泡；整页警告只在用户与 qq.com 有过来往时才出现），同样不拦截；Firefox 只降级、不弹提示。
-
链接的文字和 href 都不可信：文字可以写成看起来是
qq.com，连 href 也能伪造成「看着官方」的样子 —— 例如https://qq.com@evil.example/（@前面是用户名，真实域名在它后面）；title悬浮提示同样可以随便写。下面这个链接文字写着 qq.com，href 却是那个亚美尼亚域名，可直接悬停或点开验证：qq.com（悬停看状态栏、或右键「复制链接地址」逐字比对 —— 别只看长得像不像） -
跳转本身也是危害：链接还会 301 跳转或经 CNAME 指向别的域名 —— 例如从一个「看起来像」的地址跳到
qq*.com这类同族变体。只有最终地址栏里的拼写才是真的。 - App 内嵌浏览器（微信 / QQ / 邮箱内置 WebView）里通常根本不显示地址栏 —— 你连域名都看不到，降级和提示都无从谈起。
- 旧版浏览器（没有 IDN 显示策略）会把域名照原样显示成亚美尼亚文，既不降级也不提示。
- 截图、二维码、印刷材料里根本无法触发浏览器检测。
更危险的场景：邮件
在邮件里，它看起来就是真的 10000@qq.com
我们把发件地址设成 10000@զզ.com —— 与 QQ 官方客服号 10000@qq.com 只差「字符本身」。邮件里没有地址栏：浏览器那层 Punycode 降级在这里完全用不上。权威研究（USENIX Security 2021）实测：Gmail 与 iCloud Mail 不做这种降级，同形域名照原样以 Unicode 显示。再加上手机端默认只显示「发件人显示名」，这就是它最危险的地方 —— 而 QQ 邮箱用户基数最大，看到的人反而更容易觉得「这就是官方的」。
10000@զզ.com；详情里「signed-by: xn--39aa.com」才是真实域名。它最初被投进了垃圾邮件（反垃圾在起作用，但那是概率性的）—— 这一封是手动从垃圾箱捞出来的，捞出来之后就完全看不出破绽了。| 场景 | 里面写的是什么 | 还能一眼看穿吗 |
|---|---|---|
| 邮件里写的地址 | 10000@զզ.com | ❌ 看不出来（邮件里没有地址栏） |
| 手机端只显示显示名 | 「QQ 安全中心」 | ❌ 看不出（要点开才见完整地址） |
| 浏览器地址栏（直接访问域名） | xn--39aa.com | ✅ 能（降级为 Punycode） |
| 链接文字 / href / 悬浮提示 | զզ.com / qq.com | ❌ 都能伪造 |
逐字拆解
点开每个字符，看看它到底是什么
同形对照
亚美尼亚文 vs 拉丁：长得一样，码点不同
| 亚美尼亚（本域名的字符） | 码点 | ≈ 拉丁字母 | 码点 |
|---|
原理
IDN 与 Punycode
国际化域名（IDN）允许用非拉丁字符注册域名。DNS 只认 ASCII，于是浏览器把 Unicode 域名编码成带 xn-- 前缀的 Punycode 再查询。攻击者正是利用「显示用 Unicode、解析用 Punycode」这一层差异，注册与品牌高度相似的域名。
- 本页面的真实域名
⟶
小测验
你能分辨吗？
如何防护
普通人也做得到的几件事
-
看最终地址栏：点开链接后一定看最终地址栏（读拼写，「长得像」不算证据）；域名里出现
xn--就说明它是 IDN（非拉丁）域名，务必核对。 - 别只靠浏览器：Chrome / Firefox 只是把地址栏降级成 Punycode（不是拦截）；而邮件客户端（Gmail / iCloud Mail）不做这种降级 —— 所以邮件里更危险。
- 不要点邮件里的登录链接，改从官方 App / 书签进入；对「紧急、要密码」的邮件保持怀疑。
- 品牌方：对自己品牌做防御性注册，并建立同形域名监控与举报流程。