钓鱼网站链接

上周三下午，钓鱼我手机弹出一条短信：“【顺丰速运】您的网站包裹因地址不详被退回，请点击 sfd-express.cc 核实。链接”我差点就点了。钓鱼那个域名里“sf”和“express”都在，网站末尾的链接“.cc”看起来也像正经国别域名。唯一让我停住手的钓鱼是——我最近根本没网购。

这就是网站钓鱼网站链接的典型面孔。它不长得像怪物，链接反而长得像你每天都会见到的钓鱼东西。银行通知、网站快递查询、链接ETC认证、钓鱼社保更新、网站甚至“孩子在校表现评分表”。链接骗子把链接包装成你生活里绕不开的那几件事，然后等你手指头比脑子快的那一秒。

链接本身会撒谎

很多人以为看网址就能分辨真假。以前或许可以，现在不行了。钓鱼链接常用的把戏有这么几种：

把“icbc.com.cn”写成“1cbc.com.cn”——数字1代替小写字母l。把“taobao”写成“taobao-x”或“taobao.shop”。更狠的是用同形异义字，比如西里尔字母“а”代替拉丁字母“a”，肉眼几乎分不出来。我见过一个钓鱼页面，地址栏显示“apple.com”，但实际域名是“аpple.com”，第一个字符是俄语字母。浏览器没报警，因为那确实是个合法注册的域名，只是不属于苹果。

还有一种更粗暴的：短链接。bit.ly、t.cn 后面跟一串乱码，你根本不知道点开会跳到哪里。骗子最喜欢在短信和微信里用短链接，因为看起来“干净”，还省字数。

页面做得比真的还真

我做过一次实验。从一封钓鱼邮件里点进去，页面是一个工商银行的登录框，连“安全控件下载”的弹窗都模仿了。输入任意账号密码后，它跳转到一个“系统维护中”的提示页，然后自动关闭。整个过程不到十秒。你的账号密码已经发到骗子的服务器上了。

这些页面通常是成套买的。暗网上有专门卖“钓鱼包”的，几十美元一套，包含银行、支付平台、邮箱、社交媒体的登录页模板。买家只需要租个域名和服务器，把包传上去，就能开始群发短信。成本低到离谱。

为什么总有人上钩

不是受害者蠢。是骗子太懂人的注意力盲区。他们专挑你忙的时候发——早上赶地铁、中午排队打饭、晚上哄孩子睡觉。短信里带一句“24小时内未处理将冻结账户”，你手指就动了。

我同事老张，搞了二十年IT，上个月也点了一个“ETC过期”的链接。他说他知道那是假的，但当时在开车，瞄了一眼觉得“万一是真的呢”，就点了。点完才反应过来，赶紧关掉。没输入信息，但页面已经加载了，有没有挂马他也不知道，后来重装了手机系统才安心。

“万一是真的呢”——这五个字就是钓鱼链接的命门。

怎么防

别点。就这么简单。任何短信里的链接，不管它说是银行、快递、还是你妈，都别直接点。要查快递，打开官方App。要处理银行的事，打开银行App。要交ETC费用，打官方客服电话。多花两分钟，比事后挂失、报警、换卡省事得多。

如果已经点了，但没输入任何信息，立刻关掉页面，清空浏览器缓存。如果输入了账号密码，马上改密码，开启双重验证。如果输入了银行卡号和验证码，立刻打银行客服挂失。别犹豫，别觉得“应该没事”。

还有一条：把手机浏览器的“阻止跨站跟踪”和“欺骗性网站警告”都打开。iOS和安卓都有这功能，藏在设置里，默认可能是关的。打开它，能拦掉一部分低级钓鱼页。

最后说个真事。我表妹去年收到一条“医保卡停用”的短信，点进去填了身份证和银行卡。五分钟后，卡里三万八被转走。报警后钱追回来一万二，剩下的没了。她后来跟我说，填信息的时候其实觉得有点不对劲，但页面一直在倒计时，说“剩余操作时间 01:59”，她就慌了。

倒计时是假的。慌是真的。骗子要的就是这个。