上个月，下预我一位做财务的防网法错朋友差点把公司账上八十万转给“老板”。对方在钉钉上建了个群，络钓头像、措施签名、中说说话语气全对得上，下预连老板平时爱发的防网法错“嗯”都模仿得一模一样。她最后没转成，络钓是措施因为对方催得太急，她反而起了疑心——真正的中说老板从来只骂人，不催款。下预
这事让我想起一个常被搞错的防网法错点：很多人觉得，只要我够小心，络钓不点陌生链接、措施不扫陌生二维码，中说就安全了。错。网络钓鱼最狠的地方恰恰在于，它不靠你“不小心”，它靠你“太自信”。
下面这几条常见说法里，有一条是错的，你猜是哪条？
“只要邮件发件人显示的是公司内部域名，就可以放心点链接。”——这话听着像废话，但真有人信。实际上，攻击者可以伪造显示名称，甚至用类似“rnicrosoft.com”这种域名骗过肉眼。真正的内部域名也可能被攻破后用来发钓鱼邮件。所以判断依据不该是“看起来像内部”，而是“这个链接到底通向哪里”。把鼠标悬停在链接上，看状态栏显示的真实地址，比看发件人名字靠谱一百倍。
“双因素认证开启后，就算密码泄露，钓鱼也没用。”——这个说法最阴险。它听起来特别专业，特别安全，但现实里，攻击者会做中间人攻击。你输入验证码，他实时转发给后台，一秒钟就突破。我见过一个案例，某公司员工开了双因素，结果钓鱼页面同时要密码和验证码，他输完两秒后，账户就被异地登录了。双因素能挡住“撞库”，挡不住“实时钓鱼”。
“只要不主动输入账号密码，就不会被钓鱼。”——这句错得离谱。有些钓鱼页面不需要你输密码，它只需要你授权。比如伪造的OAuth授权弹窗，你一点“允许”，它就能拿到你的邮箱读取权限、通讯录权限，甚至发邮件权限。整个过程你只点了一下，没输任何东西。去年某大厂员工就是这么中招的，一个“日历邀请”授权，整个部门邮件被翻了个底朝天。
“安装企业级防火墙和邮件网关，就能过滤掉99%的钓鱼邮件。”——这话放十年前勉强算对，现在不行了。攻击者会利用合法域名发钓鱼邮件，比如注册一个看起来像“办-公-室-通-知.com”的域名，或者干脆用被攻破的合法企业邮箱发。网关能拦掉批量发送的垃圾钓鱼，但拦不住定向的、精心构造的鱼叉攻击。真正有效的过滤，是人眼加常识，不是设备。
那么，到底哪条说法是错的？
答案是——没有哪条是“完全错”的，但最接近“错误说法”的是第三条：“只要不主动输入账号密码，就不会被钓鱼。”因为这条给了人一种虚假的安全感。你觉得自己没输密码就没事，结果授权弹窗一点，账户就没了。这种“无密码钓鱼”正在快速增长，很多人栽了还不知道怎么栽的。
我自己的习惯是：遇到任何要跳转的链接，先复制链接到记事本里，删掉前面的协议头，看域名主体是什么。如果是“.com”结尾，但网站内容全是中文，我会犹豫。如果页面让我授权任何第三方应用，我直接关掉，去官网手动操作。麻烦是麻烦了点，但总比事后收拾烂摊子强。
你信不信，真正让钓鱼失效的，不是技术，是慢。慢半拍，多看一眼，多问一句“为什么他催我”。就这，能挡掉八成以上的攻击。