钓鱼网站有个共性：它们都急。钓鱼

你刚在淘宝搜完“蓝牙耳机”，网站半小时后就收到一条短信，钓鱼说你的网站淘宝账户异常，需要点链接验证。钓鱼链接域名是网站ta0bao-security.com。那个“0”替换了“o”，钓鱼不仔细看根本发现不了。网站点进去，钓鱼页面和真淘宝几乎一模一样，网站logo、钓鱼配色、网站甚至底部的钓鱼备案号都齐全。唯一不对劲的网站是，你一旦输入密码，钓鱼页面会卡顿三秒——那是后台在抓取你的账号信息。

去年我朋友就栽在这上面。他收到一条“社保局”的短信，说他医保卡被停用，要当天内点链接激活。他当时正赶着去医院挂号，脑子一热就点了。页面让他输身份证号、银行卡号、还有短信验证码。输完验证码那刻，他手机立刻收到银行扣款提示，四万八，没了。他后来跟我说，那个页面其实做得粗糙，字体大小不一，按钮位置也偏——但人在着急的时候，根本顾不上这些细节。

钓鱼网站最爱用的套路就三个字：限时、违规、退款。限时是“您的账户将在两小时内冻结”，违规是“您涉嫌洗钱需配合调查”，退款是“您购买的订单异常可获三倍赔偿”。每一种都精准踩中人的恐惧或贪婪。技术层面，它们通常用短链接或二维码隐藏真实地址，或者干脆用IP直接访问，绕开域名检测。更狠的会先用一个正常页面做跳转，等你输入信息后再悄悄切到另一个页面——你永远不知道数据去了哪。

有意思的是，钓鱼网站的设计逻辑跟正规网站完全相反。正规网站追求让用户停留，信息越透明越好；钓鱼网站追求让你赶紧输入，所以页面会刻意减少导航栏、隐藏帮助入口，甚至把“忘记密码”链接删掉。你想想，一个连密码找回功能都没有的“银行官网”，怎么可能真？但很多人就是没意识到这点。

手机上的钓鱼网站更麻烦。屏幕小，地址栏本来就显示不全，很多钓鱼页面还会自动隐藏浏览器地址栏，做成全屏应用的样子。你根本看不到网址，只看到一个仿造的登录框。有个案例是攻击者伪造了某银行的手机银行页面，用户指纹验证后直接跳到转账界面——但那个转账界面其实是钓鱼网站自己做的，钱转出去就进了别人的账户。

识别钓鱼网站，最笨也最有效的办法：别点任何短信、邮件、社交软件里的链接。自己手动打开浏览器，输入官网地址。真要验证信息，打客服电话。这世上没有哪个正规机构会通过一条短信让你输银行卡密码。真碰到了，宁可多花五分钟去确认，也别让手指头替大脑做决定。

钓鱼网站再像真的，它也是假的。假的就一定有破绽——只是破绽往往藏在细节里，而细节需要你不慌才能看见。