一个做外贸的国外朋友上周差点中招。客户发来一封询盘邮件，钓鱼链接点进去是网站个精致的登录页，Google的国外logo、淡蓝色背景、钓鱼甚至还有“忘记密码”的网站链接。他输入账号密码后，国外页面跳转到了真正的钓鱼Google，提示“密码错误”。网站他以为是国外输错了，又输了一遍。钓鱼直到第二天，网站他的国外企业邮箱开始向外狂发垃圾邮件，他才意识到，钓鱼那个页面是网站钓鱼网站。

钓鱼网站的设计水平这些年突飞猛进。早年间那些字体歪斜、配色刺眼的页面已经很少见了。现在它们会复制目标网站的CSS样式表，连favicon图标都做得一模一样。更高级的还会用JavaScript检测浏览器语言设置，如果发现是中文系统，自动跳转到“页面维护中”——因为骗子知道，国内用户大多用QQ邮箱和微信，用Gmail的反而可能是他们的同行。

国外钓鱼网站的产业链早就分工明确。有人专门写钓鱼页面模板，一套卖几百美元，附带绕过双因素认证的脚本。有人负责域名注册，专门抢注那些和真实网站只差一个字母的域名——比如把“paypal”写成“paypa1”，把“amazon”写成“amaz0n”。还有人专门做流量分发，通过Google Ads投放广告，把钓鱼链接推到搜索结果前列。我见过最离谱的一个案例，是钓鱼者直接买下了目标公司官网的过期域名，然后在那上面架设钓鱼页面——受害者访问的确实是“官方网站”，只不过网站主人已经换了。

辨别钓鱼网站有个土办法，别只看域名和页面长相，用鼠标右键点击页面空白处，选择“查看源代码”。真正的企业邮箱登录页，代码里会有复杂的加密逻辑和session管理。钓鱼页面通常只有简单的表单提交代码，甚至直接写个mailto:把密码发到某个Gmail邮箱。这个方法对非技术用户不太友好，但对那些每天处理大量邮件的人来说，多花十秒钟就能避免一场灾难。

另一个值得注意的细节是，钓鱼网站通常不会在HTTPS证书上花心思。虽然现在很多钓鱼站也装了SSL证书，但证书的颁发机构往往是Let's Encrypt——免费的，申请只需三分钟。而正规企业的证书多半来自DigiCert或GlobalSign，这些机构会验证企业资质。你点开浏览器地址栏的小锁图标，看看证书详情，如果显示“由Let's Encrypt颁发”且企业名称一栏是空的，那基本可以断定是钓鱼站。

最讽刺的是，很多钓鱼网站的服务器托管在美国或欧洲，当地法律对这些行为的处罚力度并不轻。但跨境执法的难度让这些骗子有恃无恐。他们用比特币支付服务器费用，用临时邮箱注册域名，用一次性手机号接收验证消息。整个流程下来，受害者连骗子的真实IP都查不到。

我那个朋友后来换了新邮箱，损失了几百封客户往来邮件。他说以后再也不会在非办公设备上登录工作邮箱了。但这话说给新手听没什么用——人总是栽过跟头才长记性。钓鱼网站的本质，是利用人类对“看起来正常”的信任。它们不搞什么高深的技术，只是把“正常”模仿得足够像。这就像街边有人穿着和你同事一样的工服喊你帮忙带杯咖啡，你很难每次都反应过来去核对工牌。