内容摘要：2023年夏天，浙江嘉兴一位姓王的女士收到一条短信：“您的ETC卡已过期，请点击链接重新认证。”她点进去，页面和浙江ETC官方几乎一模一样，输入了银行卡号和短信验证码，三分钟后卡里少了四万七。这个页面

2023年夏天，钓鱼浙江嘉兴一位姓王的网站女士收到一条短信：“您的ETC卡已过期，请点击链接重新认证。制作”她点进去，钓鱼页面和浙江ETC官方几乎一模一样，网站输入了银行卡号和短信验证码，制作三分钟后卡里少了四万七。钓鱼这个页面，网站从注册域名到上线，制作只花了四十分钟。钓鱼

钓鱼网站的网站技术门槛比大多数人想象的低得多。你不需要会写代码，制作甚至不需要懂服务器。钓鱼一套现成的网站钓鱼源码在灰色论坛上卖三十到两百块，包含前端页面、制作后台管理、数据接收邮箱。真正花时间的不是搭建，是选目标、仿页面、绕过浏览器拦截。

域名和服务器：最容易被追踪的部分

钓鱼站活多久，取决于域名选得够不够“像”。有人直接注册和官方差一两个字母的域名，比如把“icbc”写成“1cbc”，把“taobao”写成“taobao-verify.com”。这种域名便宜，一年几十块，但浏览器和微信基本会直接拦截。稍微讲究一点的，会去注册和正规企业名字相近的域名，再挂上免费的SSL证书——就是地址栏那个小锁图标。有锁不等于安全，但很多人只看这个。

服务器方面，多数人用境外VPS，按月付，十几美元。也有用被黑掉的正常网站做跳板的，这样连服务器钱都省了。我见过一个案例，钓鱼页面挂在某地教育局官网的一个废弃子目录里，存活了将近两周才被清理。

页面仿制：复制粘贴占九成

仿一个银行登录页，最笨的办法是打开官网，右键“查看网页源代码”，全选复制，改掉表单提交地址。图片直接用官网的CDN链接，连下载都省了。表单的action指向自己写的接收脚本，通常就是一个PHP文件，几十行，把POST过来的账号密码写进txt或者发到邮箱。

有些还会加一层“验证”——你输入密码后跳转到一个“系统维护中”的提示页，同时后台已经把你的信息记下来了。这层跳转是为了拖时间，让你以为只是网络问题，不会立刻去改密码。

传播链条：短信和社交群是主渠道

页面做好之后，怎么让人点进来才是关键。短信群发器成本很低，一万条几十块，内容通常是“账户异常”“积分兑换”“ETC过期”。也有在微信群、QQ群发“兼职日结”“免费领皮肤”的，目标换成学生和游戏玩家。钓鱼链接经常用短网址服务缩短，看起来像“t.cn/xxx”这种，点之前根本不知道去哪。

一个做安全的朋友跟我说，他们监测到的钓鱼站平均存活时间不到八小时。域名被封、服务器被投诉、页面被标记，都是常态。所以做这行的人会同时准备几十个域名，轮着用。一个倒了，下一个立刻顶上。

为什么总有人上当

不是受害者蠢。页面做得太像了，网址栏的小锁也在，短信里的称呼甚至能叫出你的姓。人在着急的时候——怕ETC失效、怕账户被冻结——判断力会明显下降。加上手机屏幕小，很多人根本不看完整域名，扫一眼“差不多”就点了。

写这些不是教人做钓鱼站。恰恰相反，知道它怎么运作，你才能一眼看穿。下次收到带链接的短信，先别点，把域名复制出来，和官方域名一个字母一个字母对。对不上，直接删。真正的银行和平台，不会用短网址给你发通知。