上个月我收到一条短信，钓鱼说我的网站银行卡有异常交易，附了一个链接让我点进去验证。防范链接长得像模像样，措施前面是钓鱼银行的官方域名，后面跟着一串看起来像是网站加密参数的乱码。我差点就点了——如果不是防范因为我恰好在那家银行工作过，知道他们从来不会用短信发链接让客户“验证身份”。措施

这就是钓鱼钓鱼网站最典型的手法：伪装成你信任的东西，利用你的网站紧张或好奇，让你在那一瞬间放下戒备。防范它不需要攻破任何系统，措施只需要攻破你。钓鱼

域名里藏着真相

大多数人看网址只看前面几个字。网站看到“icbc”开头就以为是防范工商银行，看到“taobao”就以为是淘宝。但真正的域名是从右往左读的。比如 icbc.com.cn.evil-site.xyz 这个地址，真正的主域名是 evil-site.xyz，前面的“icbc.com.cn”只是子域名，谁都可以注册。浏览器地址栏里那一长串字符，很多人根本不会仔细看完。

我有个朋友在电商行业做运营，他跟我说过一个案例：有人注册了 tmall.com-activity.cn 这样的域名，做了一个和天猫活动页一模一样的页面，连客服弹窗都仿了。三天时间，两百多人填了账号密码和身份证号。这些人不是不懂电脑，只是在那个当下，他们看到“tmall”就信了。

https 不是护身符

浏览器地址栏那个小锁图标，现在几乎人人都会看。但很多人不知道，https 只代表你和这个网站之间的数据传输是加密的，不代表这个网站是合法的。钓鱼网站也可以申请免费证书，一样有小锁。我以前也以为有锁就安全，直到自己动手给一个测试域名配了 Let's Encrypt 的证书，前后不到十分钟。从那以后，我看网址只认域名本身。

邮件和短信里的链接，默认不信

我现在养成一个习惯：任何邮件或短信里的链接，一律不直接点。如果是银行、支付平台、快递公司发来的，我会打开对应的官方 App 或者手动输入域名去查。多花三十秒，换的是安心。

有人觉得这样太神经质。但你想想，那些被骗的人，哪一个不是觉得自己“不会上当”的？钓鱼网站的目标从来不是技术小白，而是那些自信满满、觉得“我看一眼就知道真假”的人。恰恰是这种自信，让人在疲惫的深夜、在赶时间的早晨，随手就点了。

密码管理器是个好东西

我用密码管理器已经好几年了。它的一个附带好处是：它只会在真正的域名上自动填充密码。如果网址不对，它不会填。这等于给我加了一道自动防线。有好几次我点进一个看起来很像的页面，密码管理器没反应，我才警觉地去看域名，发现果然是假的。

如果你还没用密码管理器，至少做到一点：不同网站用不同密码。钓鱼网站拿到你的邮箱和密码后，第一件事就是去试你的微信、支付宝、网银。一个密码走天下，等于把钥匙串一起交出去了。

遇到“紧急”两个字，先停下来

钓鱼网站最爱制造紧迫感。“您的账户将在24小时内被冻结”“检测到异常登录，请立即验证”“您的包裹因地址错误被退回，请重新填写”。这些文案的共同点是：让你来不及思考。

我的经验很简单：任何要求你“立刻”“马上”“否则后果自负”的链接，先放一放。放十分钟，喝口水，再回来看。你会发现，那点紧迫感消失了，脑子也清醒了。真正的银行不会因为你晚十分钟验证就冻结你的钱。

说到底，防范钓鱼网站不靠什么高深技术。靠的是几个笨习惯：看清域名、不点链接、不同密码、遇事先停。这些事做起来不酷，但管用。