一张“快递理赔”的钓鱼典型短信截图，点开链接后跳转的网站页面和顺丰官网几乎一模一样。唯一不对劲的诈骗地方是网址栏：sf-express.com后面多了个“.cn-verify”。去年深圳龙岗一位做外贸的案例女士就这样被转走了银行卡里全部余额，十七万。图片她后来跟警察说，钓鱼典型自己当时刚丢了一个包裹，网站脑子里全是诈骗“赶紧处理”，根本没看域名。案例

钓鱼网站诈骗的图片图片证据里，出现频率最高的钓鱼典型就是这类“像素级复刻”。淘宝登录页、网站工商银行网银入口、诈骗12306购票界面，案例连页面底部的图片备案号和客服电话都抄得一字不差。骗子批量购买域名，用建站工具拖拽生成页面，成本不到两百块。一个钓鱼站存活时间通常不超过72小时，被举报封停后，换个域名继续上线。你看到的那些截图，背后是一整条自动化流水线。

2023年江苏南通警方破获的一起案件中，嫌疑人电脑里存着四百多套钓鱼页面模板。他们专门挑电商大促前后群发短信，内容从“订单异常”到“积分即将清零”，话术紧跟热点。有一张后台截图显示，某个仿冒某银行信用卡中心的钓鱼站，三天内收集了六千多条身份证号和CVV码。这些数据被打包卖给境外洗钱团伙，每条价格从五块到八十块不等，看信息完整度。

普通人怎么分辨？看网址。钓鱼站很少用官方域名，常见手法是在正规域名前后加字母或横杠，比如“icbc.com”变成“icbc.com-safe.cn”。另一个破绽是证书。正规银行和电商网站一定启用HTTPS，浏览器地址栏有锁形图标。但不少钓鱼站也买了廉价SSL证书，所以光看锁不够，还得点开证书看颁发给谁。多数人不会这么做，骗子赌的就是这个。

还有一种更隐蔽的：二维码钓鱼。图片里是一张停车缴费单，印着二维码，扫码后跳转的页面要求输入车牌和银行卡号。上海闵行一位车主扫了，被扣了三千八。那张缴费单是骗子半夜贴的，整条街贴了四十多辆车。交警后来调监控，发现贴单的人戴着鸭舌帽，骑电动车，全程不到三分钟。这种钓鱼方式把图片和线下场景结合，迷惑性极强。

我翻过一些反诈论坛的帖子，发现一个规律：被骗的人往往在操作时处于“任务模式”。急着改签机票、急着解冻账户、急着领补贴。骗子把钓鱼页面做得越像，越能让人不假思索地填信息。有个受害者描述，他点完“提交”后页面卡住，还以为是网络问题，刷新了三次，直到收到银行扣款短信才反应过来。那个钓鱼站的后台，其实已经把他输入的数据实时传走了。

图片作为证据，在报案时有用，但追回钱款的概率很低。钓鱼站服务器多在境外，域名注册信息是假的，资金一旦转进第三方支付通道，几分钟内就分散到几十张卡里。所以真正管用的还是预防。浏览器装个反钓鱼插件，收到带链接的短信先截图，用官方App扫一遍，别直接点。这些动作花不了十秒钟，但能挡住绝大多数低级钓鱼站。至于那些高仿到连客服都能模拟的，只能说，输密码前停一下，看一眼网址栏，这个习惯值十七万。