连上“Starbucks_Free_WiFi”，热点手机顶部弹出认证页面，下的陷阱输入手机号、钓鱼验证码，热点微信自动跳转授权——整个过程不到十秒。下的陷阱去年秋天在杭州一家商场，钓鱼我亲眼看着邻座女孩做完这套动作，热点五分钟后她的下的陷阱微信开始向所有好友发送“帮忙砍一刀”的链接。她浑然不觉，钓鱼还在刷短视频。热点

那个WiFi是下的陷阱假的。名字蹭了星巴克，钓鱼信号强度甚至比真热点还猛，热点因为骗子把路由器藏在了商场休息区的下的陷阱沙发缝里。成本不到两百块，钓鱼一个充电宝供电，一台二手TP-Link，就能让整片区域的人主动交出手机号、社交账号和验证码。

钓鱼热点不偷密码，它偷“信任”

很多人以为连WiFi被盗是密码泄露。错了。公共WiFi钓鱼的核心逻辑是中间人攻击——你连上的是骗子的路由器，所有流量先经过他的设备再转发出去。你访问的“微信授权页”其实是骗子搭的假页面，域名差一个字母，界面一模一样。你输入的验证码直接进了对方数据库，你的微信绑定手机号被用来注册新账号、发广告、甚至申请网贷。

更隐蔽的是DNS劫持。连上假热点后，你输入weixin.qq.com，路由器把你引到weixin.qq.com.cn这种高仿域名。浏览器地址栏不仔细看根本发现不了。登录框弹出来，你习惯性输入账号密码，后台就记下了。

机场和酒店是重灾区，因为你会主动连

商场里你还会犹豫，机场赶飞机、酒店办入住，人容易急。骗子吃准这点。浦东机场T2航站楼，我见过一个“PVG_Free_WiFi”热点，信号满格，连上后要求输入航班号和座位号“验证身份”。旁边真热点的认证页面反而卡顿、要收短信。赶时间的人选哪个？答案很明显。

酒店更狠。房间里的WiFi提示卡写着“请连接Room_1208”，你连上后弹出“因系统升级，请重新输入房号和姓氏验证”。前台根本不知道这事。骗子可能就住在隔壁房间，用微型路由器伪装成酒店热点。你输入的信息足够他打电话到前台：“1208的客人，麻烦送两条毛巾。”——然后套出更多个人信息。

别指望HTTPS，钓鱼页面也有小锁

“看地址栏有没有小锁”这招过时了。骗子用Let's Encrypt免费证书，假页面照样是https。真正该看的是域名。微信授权只会在open.weixin.qq.com，不会是什么wx-auth-login.com。银行App更不会让你在浏览器里输密码。

我的习惯：公共场合开手机热点给电脑用，宁可费流量。必须连公共WiFi时，先关掉“自动加入”功能，连上后立刻开VPN，再手动把DNS改成1.1.1.1或8.8.8.8。微信里关掉“通过手机号搜索到我”，能少一半麻烦。

那个杭州女孩后来报了警。警察说钱追不回来，但可以帮她冻结微信号。她坐在商场服务台，手里攥着手机，屏幕还亮着——假WiFi的信号格依然是满的，像什么都没发生过。