跳转钓鱼

北京中关村的跳转钓鱼一家咖啡馆里，我眼睁睁看着朋友老张在手机上输入银行卡号。跳转钓鱼他点开一条短信，跳转钓鱼链接跳转的跳转钓鱼页面和银行官网长得一模一样——蓝底白字，连安全认证图标都有。跳转钓鱼我抢过手机时，跳转钓鱼他已经在输第三位验证码了。跳转钓鱼

“这页面是跳转钓鱼假的。”我说。跳转钓鱼老张不信，跳转钓鱼指着地址栏：“你看，跳转钓鱼https都有，跳转钓鱼锁头也在。跳转钓鱼”我让他看域名后缀——那串字符在“.com”前多了个“-secure-login”。跳转钓鱼他愣了三秒，跳转钓鱼然后骂了句脏话。

这就是跳转钓鱼的可怕之处。它不是那种漏洞百出的诈骗邮件，而是精准的、耐心的、甚至带着点艺术感的欺骗。攻击者先给你一个看似无害的链接——可能是中奖通知，可能是快递异常，可能是你同事发来的共享文档——点击后，你被带到真实的网站，但就在页面加载的瞬间，一个透明的、伪造的登录框被悄悄覆盖在真页面上方。

技术层面，这玩意叫“点击劫持”的变种，但比那更阴。它利用的是你眼睛的信任惯性：你看到的是熟悉的界面，手指肌肉记忆般地输入账号密码，大脑甚至还在想“今天午饭吃什么”。你的信息就这么被抽走了，整个过程不超过十秒。

有个做安全的朋友给我演示过一次。他搭了个模拟页面，仿的是某电商平台。我没看出破绽，直到他让我点“忘记密码”按钮——跳出来的弹窗里，客服头像的像素边缘有半毫米的色差。他笑着说：“这已经算粗糙的了，专业团队做的，你拿放大镜都找不出毛病。”

更操蛋的是，这类攻击越来越多地出现在移动端。手机屏幕小，浏览器地址栏被自动隐藏，你根本看不到域名。很多APP内嵌的网页浏览器，连URL都不显示。你点开一条“你的包裹被扣留”的短信，跳转的页面让你输入身份证号和手机验证码——这时候，就算你是程序员，也得留个心眼。

我见过最狠的案例，是去年某大厂员工被钓走了企业邮箱密码。攻击者先给他发了个假的公司内部问卷调查链接，跳转后要求用企业邮箱登录。他输入密码的瞬间，攻击者就用这个密码登入了他的真实邮箱，然后向全公司通讯录发了带毒附件。整个链条，从点开链接到内部系统沦陷，不到四分钟。

别以为装个杀毒软件就万事大吉。跳转钓鱼的核心是心理战，它不攻击你的系统，攻击你的判断力。你越是熟悉某个网站的界面，越容易中招——因为你的大脑在自动补全那些你预期中应该出现的元素。

现在我的习惯是：任何要求输入密码的页面，先故意输错一次。如果页面没有报错，而是直接跳转，那百分之百是钓鱼。另外，看到“登录超时请重新验证”这类提示时，手动输入官网地址，别点任何链接。老张后来问我怎么练出这个本事的，我说：“被钓过两次，肉疼，就长记性了。”

他苦笑一声，把银行卡剪了。