上个月我收到一条短信，钓鱼的类说我ETC卡过期了，网站点链接重新认证。钓鱼的类网址长得像模像样，网站字母数字混在一起，钓鱼的类前面还挂着“955”开头的网站号码。我差点就点了。钓鱼的类后来一查，网站那个域名注册才三天。钓鱼的类这就是网站钓鱼网站——它不黑你的电脑，它骗你亲手把密码、钓鱼的类验证码、网站银行卡号交出去。钓鱼的类说白了，网站它伪装成你信任的钓鱼的类东西，等你上钩。

最常见的钓鱼站，是克隆正规平台的登录页。淘宝、银行、QQ邮箱，页面做得跟真的一模一样，连logo的像素位置都不差。区别只在网址栏——真淘宝是taobao.com，假的是taobao.com.cn或者taobao-security.net这种。我见过一个仿某银行的，域名里把字母“l”换成数字“1”，肉眼几乎看不出。你输完账号密码，页面转两圈，弹个“系统维护中”，然后你的信息就进了别人的数据库。这种站存活时间通常只有几小时到几天，用完就扔。

另一类专攻虚假活动。朋友圈里“点击领取XX公司周年庆红包”，点进去让你填手机号、身份证、银行卡，说领钱要先验证。去年有个仿某电商的“百亿补贴”页面，做得比官方还热闹，滚动字幕不停播“XXX刚领了188元”。你填完信息，它说“红包将在24小时内到账”，然后就没然后了。你的信息被拿去注册账号、申请贷款，甚至直接盗刷。这类站往往挂在境外服务器上，域名一串乱码，但页面设计得特别“正规”，红黄配色，倒计时跳动，全是催你赶紧填的套路。

还有一种是利用短链接和二维码藏身。你在群里看到一条“公司通知”短链接，点开跳转到一个仿企业邮箱的登录页。或者扫个共享单车上贴的二维码，跳出来一个“扫码退押金”的页面。短链接把真实域名藏了，二维码更狠——你根本看不到网址。我试过扫一个街边“扫码送水杯”的二维码，跳转到一个仿微信安全中心的页面，让我输入微信密码“验证身份”。这种站通常和线下场景绑在一起，地铁口、商场门口，专挑赶时间的人。

更隐蔽的，是寄生在正规平台上的钓鱼页。比如在某个文档分享网站上传一个“工资表模板”，打开后是一个仿企业微信的登录弹窗。或者在某个论坛的签名档里放一个链接，点进去是仿Steam社区的页面。这类钓鱼站本身域名可能是正规平台的子域名，或者利用平台的开放重定向漏洞，让你放松警惕。我见过一个仿GitHub的，页面挂在github.io上——那是GitHub自己的免费托管服务，域名里带着github.io，很多人一看就信了。

最糙但也最有效的，是纯文本钓鱼邮件里的链接。邮件正文写“您的账户存在异常登录，请点击链接验证”，链接文字显示的是“https://www.icbc.com.cn”，实际指向一个IP地址。鼠标悬停才能看到真实地址，但手机邮件客户端根本不给你悬停的机会。点进去就是一个仿工行登录页，输完卡号密码，再让你输短信验证码。验证码一交，钱就没了。这种站往往连HTTPS证书都是免费的Let's Encrypt签的，浏览器地址栏显示个小锁头，反而增加了可信度。

识别钓鱼站，别光看页面像不像。看域名——真官网的域名通常短、好记、有规律。看证书——但别迷信小锁头，现在免费证书满天飞。最管用的办法：别点链接。要登录银行，自己手动输网址；要查快递，自己开官方App。我现在的习惯是，任何短信里的链接，一律当钓鱼处理。宁可多花两分钟手动打开官网，也不省那一下点击。钓鱼网站赌的就是你懒、你急、你大意。你稍微停一下，它就露馅了。