上周三下午，钓鱼我收到一条短信：“您的网站ETC卡已过期，请点击链接重新认证，反诈否则将影响通行。钓鱼”短信末尾附了一个网址。网站我盯着屏幕看了三秒，反诈笑了——我根本没车。钓鱼但这条短信的网站伪装水平不低，发件号码伪装成了“95”开头的反诈官方号段，链接点开后是钓鱼一个几乎复刻了某省ETC官网的页面，连客服电话都一模一样。网站

这就是反诈钓鱼网站。它不攻击你的钓鱼电脑，它攻击你的网站眼睛和手指。

很多人以为钓鱼网站是反诈那种粗制滥造的假银行页面，网址里一堆乱码，页面歪歪扭扭。那是十年前的水平。现在的钓鱼站，前端代码可能比真官网还精致。我见过一个仿冒某电商登录页的钓鱼站，连“忘记密码”按钮的悬停动画都做了，输入框获得焦点时的蓝色光晕分毫不差。唯一露馅的地方是网址——真站是“passport.xxx.com”，假站是“passport.xxx.com.security-verify.cn”。多了一长串后缀，像一条尾巴没藏好。

做安全的朋友给我看过一份数据：一个钓鱼页面从上线到被拦截，平均存活时间不到四小时。但就是这四个小时，足够骗到几十个人。他们的套路很固定——先买一批泄露的邮箱或手机号，然后群发“账户异常”“积分清零”“包裹丢失”这类消息。你点进去，输入账号密码，页面转两圈，提示“系统维护中”。其实你的密码已经进了对方的数据库。

我试过反向追踪一个钓鱼站。域名注册在海外，服务器IP跳了三个国家，页面里嵌了一段JavaScript，专门检测访问者是不是用了安全软件。如果是，就跳转到真官网；如果不是，才显示假页面。这种“看人下菜碟”的手法越来越常见。更狠的是，有些钓鱼站会实时把你的输入同步到真网站去验证。如果密码错了，假页面会提示“密码错误，请重试”——你以为是手滑，其实是对方在确认你的密码对不对。

普通人怎么防？别信“官方短信里的链接”这句话已经说烂了，但真正管用的是另一个习惯：手动输入网址。收到任何声称账户异常的消息，关掉它，打开浏览器，自己敲官网地址。多花十秒钟，省掉后面一堆麻烦。还有，浏览器地址栏左边那个小锁图标，点开看看证书是谁签发的。钓鱼站通常用免费证书，签发者一栏写着“Let's Encrypt”或者干脆是自签的。真银行、真电商，证书签发者一般是DigiCert、GlobalSign这些。

另外，别太相信“HTTPS”就等于安全。早几年大家说“看网址有没有https”，现在钓鱼站也上https了，成本几乎为零。https只保证传输过程不被窃听，不保证对面是谁。就像你打电话，线路加密了，但接电话的可能是个骗子。

我自己的习惯是：任何要求输入密码的页面，先看网址。网址不对，直接关。网址对，再想想——这个操作是我主动发起的，还是被一条消息催着来的？如果是后者，关掉，重新从官网进。这个动作很笨，但笨办法往往最管用。

钓鱼网站玩的是心理战。它利用你的着急、你的好奇、你的“万一呢”。你越急，它越容易得手。所以反诈的核心不是技术，是节奏——慢下来，多看一眼网址，多问一句“这合理吗”。那条ETC短信如果发给一个真有车的人，对方可能正赶着上高速，一着急就点了。骗子赌的就是这个。

别让他们赌赢。