我见过最嚣张的盗号盗号网站，网址直接叫“qq安全中心-验证”。网站网址

不是盗号那种一眼假的乱码域名，它用的网站网址是“qq安铨中心.cn”这种形近字把戏。你鼠标悬停上去，盗号浏览器左下角显示的网站网址链接是“qq.com”开头的——他们用了一段JavaScript把状态栏给改了。我朋友小李就栽在这上面。盗号他收到一条“好友”发来的网站网址消息，说自己的盗号QQ在异地登录被冻结了，需要他帮忙验证一下。网站网址附带的盗号那个链接，点开之后页面做得跟腾讯官方的网站网址安全中心一模一样，连那个蓝色盾牌的盗号logo都是高清的。

页面问他QQ号、网站网址密码，盗号还要求填密保问题的答案。他填完提交，页面转了个圈，提示“验证成功”。然后他的QQ就在线被挤下线了——再登就提示密码错误。他当时还没反应过来，直到他爸打电话问他为什么在群里发赌博广告。

这类网站的网址有个规律，我翻他浏览器历史记录才看清：“qq-mibaole.com”。注意那个“mibaole”，用的是“密保了”的拼音，但中间插了个横杠。还有更绝的，有人注册了“qq安全中心.cn”这个真域名——不是仿冒，是真的注册下来了，然后等着钓鱼网站来租用他的子页面。

盗号网站通常活不过三天。因为QQ官方举报机制很灵敏，加上安全浏览器会拦截。所以这帮人用的是“打一枪换一个地方”的战术。他们批量注册域名，一个被举报封了，马上启用下一个。有个做黑灰产的朋友跟我透露过，他们后台有个域名池，每天自动生成几百个新网址，用程序检测哪些还能访问，哪些被拉黑了。

网址本身也分档次。低端的是“qqhao123.com”这种，一眼假。中端的会用“qq安全中心-实名认证.cn”这类带后缀的，利用的是用户分不清“.cn”和“.com”的区别。高端的直接做镜像站，网址用“qq.com.xx.com”这种多级域名——你乍一看开头是qq.com，其实后面跟的才是真正的主域名。

最坑的是那种通过QQ空间日志传播的。日志标题写“2019年QQ新版升级，不验证就冻结”，点进去是个flash动画，最后跳转到“qqfuwu.top”这个网址。这种域名后缀是.top的，注册只要几块钱，而且不需要实名。

现在这些网站也开始用HTTPS加密了，浏览器地址栏会显示一个小锁。很多人看到那个锁就以为安全，其实加密只能防第三方窃听，防不了网站本身是钓鱼的。他们花几百块钱就能买个SSL证书，浏览器照样显示绿色。

小李的号最后找回来了——通过申诉，提供了他最早期的密码和好友辅助验证。但那个盗号网站已经换成新网址了，叫“qqfuwu2024.top”。我试着访问了一下，页面还在，输入框还亮着。我没填任何东西，直接关了。但我知道，每天都有几百个像小李一样的人，会在这个页面上敲下自己的密码。他们不会想到，这个网址在三天后就会失效，而他们的账号，已经变成别人群发垃圾广告的肉鸡。