你收到一条短信，什挂说你银行卡在境外消费了八千块，马网附了个链接让你“立即核实”。站和手一抖点进去，钓鱼页面做得跟银行官网一模一样，网站连客服电话都对。什挂你输入了卡号和密码——恭喜，马网你刚把自己的站和钱亲手送给了别人。这就是钓鱼钓鱼网站，专门骗你主动交出家底。网站

挂马网站又是什挂另一回事。它不骗你输入密码，马网它直接在你电脑或手机里下毒。站和你逛一个正常的钓鱼论坛，或者点开一篇看着挺正经的网站文章，页面里藏着的恶意代码就悄悄运行了。你可能什么都没感觉到，但后台已经开始下载木马程序，键盘记录器、屏幕截图、文件加密，一条龙服务。有个朋友跟我说，他啥也没干，就看了个“明星八卦合集”的网页，第二天社交账号全被盗了，发的广告比微商还勤快。

区别就在这：钓鱼网站是“请君入瓮”，用精心伪装的页面让你自己交出信息；挂马网站是“破门而入”，利用浏览器或系统漏洞直接植入恶意程序。前者靠骗，后者靠偷。但两者经常混着来——钓鱼网站本身也可能挂了马，你输入账号密码的同时，木马已经在你硬盘里安家了。

识别它们有个土办法，但很管用。钓鱼网站再像真的，网址骗不了人。银行官网是bank.com，钓鱼的可能是bank.com.verify-now.cn或者bank.com.login-page.net，域名后缀和主域名稍微一变，就是破绽。还有，正规网站不会用短信里的短链接让你输密码，更不会在邮件里直接要你的验证码。挂马网站更隐蔽，因为它不让你做任何事，光靠看页面根本分辨不出。这时候得靠技术手段——浏览器会提示“不安全连接”，杀毒软件会报警，这些警告别不当回事。

我观察到一个现象：中招的人里，老年人被骗去点钓鱼链接的居多，因为对网络不熟；年轻人反而更容易中挂马的招，因为觉得自己懂技术，爱逛各种稀奇古怪的网站，还喜欢关掉安全软件“省事”。这两种心态都危险。你觉得自己聪明，骗子比你还勤奋，他们天天研究怎么绕过检测，怎么让页面以假乱真。

最实在的建议就三条：一，凡是让你输密码的网页，手动输入网址，别点任何链接。二，浏览器和系统更新别嫌烦，补丁就是堵漏洞的。三，手机电脑上装个靠谱的安全软件，别裸奔。做到这三点，你就能躲开九成的坑。剩下的那一成，靠运气——但运气这东西，在网络安全上从来靠不住。