如何应对钓鱼网站

上周我收到一条短信，对钓说我的鱼网银行卡因异常交易被冻结，附了一个链接让我“立即验证身份”。对钓点进去的鱼网页面和某国有大行官网几乎一模一样，连客服电话都抄对了。对钓唯一露馅的鱼网地方是域名——把“icbc”换成了“1cbc”，数字1代替了字母i。对钓这种把戏每天有上百万次尝试，鱼网得手一次就够骗子吃半年。对钓

钓鱼网站的鱼网核心逻辑就一条：让你在假页面上输入真密码。它不需要攻破任何服务器，对钓只要骗过你的鱼网眼睛。早期钓鱼站粗制滥造，对钓错别字连篇，鱼网现在不少用上了HTTPS证书，对钓浏览器地址栏挂着锁头图标，照样是假的。锁头只证明“连接加密”，不证明“网站合法”。很多人栽在这上面。

看域名比看页面重要。真正的官网域名通常短而规整，比如“taobao.com”“gov.cn”。钓鱼站喜欢加后缀或改字母：“taobao.com.cn”“taobao.net”“taobbaoo.com”。还有用连字符的，“icbc-login.com”看着像官方子站，其实整个域名都是骗子注册的。手机屏幕上地址栏窄，容易忽略，点开链接前长按看一眼完整URL，能筛掉八成低级钓鱼。

另一个破绽在页面细节。银行登录页通常不会让你同时输入卡号、密码、短信验证码、身份证号——真银行也嫌麻烦。钓鱼站为了“一次收割”，把能要的信息全堆在一个表单里。遇到这种“全家桶式”收集，直接关掉。还有，真网站的“忘记密码”链接能点开，钓鱼站的往往是死链或跳回首页。

我自己的习惯是：任何短信里的链接都不点。要查账户，手动打开银行App或输入官网地址。快递理赔、ETC失效、社保升级，这些短信模板骗子用了五六年，换汤不换药。真有急事，官方会通过App推送或站内信通知，不会只发一条带链接的短信。

万一已经输入了信息，动作要快。先断网，用另一台设备改密码——如果同一台设备可能被植入键盘记录。改完密码再改关联邮箱，然后打电话给银行冻结账户。别先忙着删短信，截图留证，虽然追回概率不高，但报警时用得上。我见过有人输入后三小时才发现，钱早被分散转走，追了半年只回来零头。

浏览器和杀毒软件能挡一部分，但别全指望它们。钓鱼站存活时间平均不到十小时，域名批量注册，封一个换一个。真正管用的是肌肉记忆：看到登录框先扫域名，看到“紧急验证”先冷静十秒。骗子赚的就是你手快的那一下。

最后说个反直觉的：有些钓鱼站故意做得有点丑。太精致的仿冒反而容易被截图传播，粗糙一点，目标用户——对网络不熟的中老年人——反而觉得“真实”。我教家里长辈的办法很简单：任何要输密码的页面，先退出来，从手机桌面上的官方App重新进。麻烦一步，省掉后面所有麻烦。