```html

钓鱼网站的表现形式

上周帮朋友处理一个“银行积分兑换”的页面，点进去域名是网站 icbc‑jf[.]top，页面做得跟工行官网一模一样，现形连浮动客服窗口的钓鱼的表动画都复刻了。填完卡号、网站密码、现形短信验证码，钓鱼的表页面转了三秒，网站提示“系统繁忙，现形请稍后重试”——然后他收到一条扣款短信。钓鱼的表这种就是网站最典型的钓鱼网站，只不过它套了一层“积分商城”的现形壳。

钓鱼网站的钓鱼的表伪装早已不是早年那种满屏错别字、排版歪七扭八的网站样子。现在的现形页面可以直接扒下目标网站的前端代码，改掉表单提交地址，再挂到一个看着像那么回事的域名上。你从视觉上几乎分辨不出来，只有地址栏里那一串字符露了馅。

域名模仿是最常见的手法。把 paypal.com 写成 paypa1.com（数字1代替小写L），或者加个连字符 pay-pal.com，又或者在前面塞个看似正规的子域名，比如 secure.paypal.com.verify‑account[.]xyz。浏览器地址栏里 secure.paypal.com 在前，很多人扫一眼就信了，根本不会注意后面那串真正的域名是 verify‑account.xyz。

还有一种更隐蔽的：利用开放重定向漏洞。你在一个正规网站（比如某搜索引擎的跳转链接）里点进去，地址栏开头是 https://www.google.com/url?q=...，后面跟的才是钓鱼站。用户看到“google.com”就放松了警惕。这种手法在邮件钓鱼里特别多，因为邮件网关往往会放行带正规域名的链接。

页面内容上的把戏也不少。有些钓鱼站不直接偷密码，而是让你下载一个“安全控件”或“证书助手”。你点下载，得到一个 .exe 或 .apk 文件，装完手机或电脑就被装了木马，后面的事就不用多说了。这类站通常挂着“请安装根证书以继续访问”的提示，利用的是普通用户对“证书”“控件”这些词的不明觉厉。

二维码也成了钓鱼的常见入口。餐厅桌上贴个“扫码领优惠”，扫出来是个仿大众点评的登录页；共享单车车身上贴个“扫码骑车”，扫出来是个仿摩拜的付款页。二维码本身看不出任何信息，扫之前你根本不知道它会把你带到哪个域名。我自己的习惯是，扫出来先看域名，不是官方App里内置的扫码结果，一律关掉。

短信里的钓鱼链接更直接。“您的ETC已过期，请点击链接认证”、“社保卡未升级，将被停用”、“快递丢失，点击理赔”——这些短信里的链接，短得看不出任何域名特征，比如 t.cn/xxxx 或 dwz.cn/xxxx，点进去才跳转到钓鱼页面。运营商虽然会拦截一部分，但骗子换短链服务比换衣服还快。

搜索引擎广告位也是重灾区。你搜“XX银行官网”，排在最前面的“赞助商链接”可能就是一个高仿站。骗子买竞价排名，把广告文案写得跟官方一模一样，落地页域名却是个乱七八糟的后缀。百度、谷歌都出过这种事，虽然平台一直在清理，但总有人钻空子。

社交平台上的钓鱼更生活化。有人在闲鱼上挂个低价iPhone，让你加QQ聊，然后发你一个“闲鱼担保交易”的链接——点开是仿闲鱼的页面，你付了款，对方就拉黑。还有在微博评论区里发“出某某演唱会门票，点我头像看详情”，点进去是仿大麦网的登录页。这些场景里，用户往往因为“捡便宜”的心态而忽略了域名检查。

说个我自己的判断标准：任何让你输入密码、验证码、银行卡CVV的页面，只要域名不是你能背下来的那个官方域名，一律关掉。 不要管页面做得多真、客服弹窗多热情、进度条多逼真。钓鱼网站的唯一目的就是让你在那一秒钟里放下戒备。你多看一眼地址栏，骗子就白干一单。

最后提一句，现在有些钓鱼站开始用HTTPS了，地址栏也有小锁图标。别再把“有锁”当成安全标志——那只能说明你和骗子之间的连接是加密的，不代表骗子是好人。