前两天收到一条短信，钓鱼说我ETC卡过期了，网站网址附了一个链接让我“立即认证”。钓鱼点开一看，网站网址域名是钓鱼 etc-renzheng.xyz。不用想，网站网址钓鱼网站。钓鱼但说实话，网站网址这个页面做得挺像那么回事——顶部有官方logo，钓鱼底部还有“版权所有”的网站网址小字，连客服电话都抄了个真的钓鱼。

钓鱼网站网址，网站网址说白了就是钓鱼骗子用来套你账号密码、银行卡号、网站网址验证码的钓鱼假网页地址。它跟真网站长得几乎一模一样，唯一的破绽就在浏览器地址栏里那串字符。可大多数人根本不看地址栏，直接输信息，点提交，然后钱就没了。

域名里的“障眼法”

真网站和假网站的区别，往往就藏在几个字母里。比如工商银行的官网是 icbc.com.cn，钓鱼网站可能用 icbc-cn.com 或者 1cbc.com——数字“1”冒充字母“l”，或者加个横杠、换个后缀。再比如 taobao.com 变成 taobao.net、taobao.cn.com，粗看一眼根本反应不过来。

还有一种更隐蔽的：用二级域名。比如 taobao.com.evil-site.com，前面看着像淘宝，实际真正的域名是 evil-site.com。浏览器地址栏如果被压缩显示，只露出前半截，很容易上当。

短链接和二维码是重灾区

短信里的钓鱼网址很少直接写全。常见的是 t.cn/xxxx 这种短链接，或者干脆一个二维码。你扫完跳转到哪，扫之前根本不知道。我试过用短链接展开工具查过一个“银行积分兑换”的链接，跳转三次，最后落到一个 .top 域名的页面上，要求填卡号、密码、CVV码。到这一步，信息已经喂到骗子嘴里了。

二维码更麻烦。印刷在传单上、贴在共享单车上、甚至伪装成停车罚单上的二维码，扫出来是什么网址，肉眼完全看不见。有些人扫完看到页面有“银联”标志就信了。

HTTPS小锁不代表安全

很多人以为地址栏有那个小锁图标就是安全的。错了。现在申请一个HTTPS证书成本极低，甚至有免费的。钓鱼网站照样能上HTTPS，小锁只说明“传输加密”，不说明“网站合法”。我见过一个钓鱼页面，HTTPS证书还是Let's Encrypt签的，浏览器显示“安全”，页面却在偷你的网银密码。

怎么快速判断

几个土办法，但管用。第一，别点短信里的链接，要办业务直接打开官方App或者手动输官网地址。第二，看域名主体——icbc.com.cn 的主体是 icbc，icbc.secure-login.com 的主体是 secure-login.com，跟工行没关系。第三，随便填个假账号密码提交，真网站会提示“用户名或密码错误”，钓鱼网站往往直接跳转到一个“成功”页面或者继续要你填更多信息。第四，用手机浏览器打开时，长按地址栏看看完整域名，别被滚动条骗了。

说个真事。我同事收到“公司邮箱升级通知”，点进去是一个模仿公司OA登录页的钓鱼站，域名是 oa-company.work。他输了账号密码，第二天公司邮箱就开始往外发诈骗邮件。IT查日志才发现，那个 .work 域名注册还不到24小时。

钓鱼网站网址每天都在变，封一批换一批。记住一点：任何要你输入密码、验证码、银行卡信息的网页，先停下来看一眼地址栏。那串字符不对，后面全白搭。