上个月我收到一条短信，钓鱼说我的网站ETC卡过期了，点链接重新认证。何防我差点就点了——因为那几天我确实刚换过银行卡，钓鱼脑子里的网站“巧合感”一下压过了警惕心。后来仔细看网址，何防是钓鱼“ettc-verify.com”而不是官方域名，才反应过来。网站钓鱼网站就是何防这么干的，它不跟你硬碰硬，钓鱼专挑你生活里最松懈的网站那几秒下手。

很多人以为钓鱼网站就是何防那种粗制滥造的假银行页面，满屏错别字。钓鱼现在早不是网站这样了。我见过一个仿冒某电商登录页的何防钓鱼站，连页面底部的备案号、客服电话都抄得一字不差。唯一破绽是网址里多了一个连字符。制作者甚至做了HTTPS加密，浏览器地址栏显示那把绿色小锁——可那玩意儿只证明“传输过程加密”，不证明“网站是合法的”。这大概是普通人最大的认知盲区。

怎么分辨？我自己的习惯是：任何要你输入密码、验证码、银行卡号的页面，先看域名，不看页面设计。域名是从右往左读的，真正的核心部分在最后一个点之前。比如“mail.qq.com”是腾讯的，“qq.com.mail-login.cn”就是骗子。另外，别信“短链接”，什么“t.cn/xxxx”点进去之前根本不知道去哪。我一般会先复制出来，用短链接展开工具看一眼真实地址。麻烦是麻烦，但比事后挂失银行卡省事得多。

还有一个高频场景：邮件里的“发票”“会议纪要”“订单详情”附件。我同事中过一次招，打开一个叫“6月对账单.zip”的文件，里面是个.exe可执行程序。运行后浏览器自动打开一个假Office 365登录页，他输了密码，第二天公司邮箱就开始往外发钓鱼邮件。这种叫“鱼叉式钓鱼”，专门针对特定的人。防范方法很简单——附件是压缩包且里面是可执行文件的，直接删。正规对账单只会是PDF或Excel，不会让你“运行”什么。

手机上的钓鱼更隐蔽。安卓用户尤其注意：有些网页会弹一个全屏广告，说“您的手机已中病毒，立即清理”，下面一个硕大的“立即修复”按钮。点下去就下载一个APK，装完就偷短信。我丈母娘就中过，手机自动给通讯录所有人发“我换号了，请存新号”。后来我给她装了广告拦截插件，又教她一招：任何网页弹窗让你“下载App才能继续”的，直接关掉。浏览器里能做的事，不需要装App。

企业邮箱那头也有招。我们公司IT部门去年开始在所有外部邮件顶部加一行黄底红字：“此邮件来自外部，请谨慎点击链接。”这招很土，但有效。我观察过，加了这行字之后，内部钓鱼测试的点击率从23%掉到了7%。人不是不知道有风险，是忙起来就忘了。给个视觉提醒，比培训十次都管用。

最后说一个我自己的笨办法：把常用网站的登录页存成书签，永远从书签进，不从邮件或短信里的链接进。银行、邮箱、购物、办公系统，全存好。这样就算收到“您的账户异常”的短信，我也只从书签点进去看。钓鱼网站最怕的就是你不按它的剧本走。你多花三秒钟绕开它，它那套假页面就白做了。

真被骗了怎么办？立刻改密码——所有用同一个密码的网站都改。然后打银行客服冻结卡片。别觉得丢人，我认识的一个程序员也中过招，钓鱼站仿的是他公司内部的VPN登录页。这年头，谁还没个走神的时候。