网站钓鱼

上周我收到一条短信，网站钓鱼说我的网站钓鱼快递因为地址模糊被退回，让我点链接重新填写。网站钓鱼链接打开后是网站钓鱼一个和顺丰官网几乎一模一样的页面，连客服电话都一字不差。网站钓鱼我差点就填了手机号和验证码——直到发现域名是网站钓鱼“sf-express.top”而不是“.com”。这就是网站钓鱼网站钓鱼：一个克隆页面，一个假域名，网站钓鱼等着你亲手把密码或验证码交出去。网站钓鱼

钓鱼网站不靠技术漏洞。网站钓鱼它攻击的网站钓鱼是人的习惯。你每天登录邮箱、网站钓鱼网银、网站钓鱼社交账号，网站钓鱼看到熟悉的网站钓鱼界面就下意识输入账号密码。攻击者把整套登录流程复制下来，连“忘记密码”的链接都做得能点。区别只在地址栏——而多数人根本不看地址栏。我做过一个小实验：把某邮箱登录页的logo换成一只猫，发给十个朋友，六个人没发现异常，直接输入了测试账号。界面越像，警惕越低。

假域名是钓鱼的第一层伪装。常见手法是用形近字符：把“rn”拼成“m”，把“l”换成“1”，或者加个不起眼的后缀，比如“taobao.com.user-login.cn”。另一个套路是长域名里塞真域名，像“apple.com.verify-id.net”，一眼扫过去只看到前面的“apple.com”。普通人不会逐字读域名，浏览器地址栏又越来越短，很多手机浏览器干脆只显示网站标题。攻击者吃准了这一点。

更隐蔽的一种是“子域名钓鱼”。比如“login.paypal.com.secure-auth.xyz”，前面完全合法，后面才是真域名。你点进去，页面加载的是paypal的静态资源，但表单提交地址指向攻击者的服务器。这种页面连HTTPS锁头都有——因为攻击者也能申请免费证书。锁头只代表传输加密，不代表网站可信。我见过不少人把“https”当成安全认证，这是个危险的误解。

钓鱼页面怎么送到你面前？短信、邮件、社交私信，甚至搜索引擎广告。有人花钱买下“网银登录”这类关键词的广告位，排在你真正想找的银行前面。你点广告，进假站，输密码。整个过程没有弹窗警告，没有杀毒软件拦截，因为页面本身不挂马，只是收集数据。等发现账户异常，钱早转走了。

我自己的防御习惯很土：任何登录页面，先手动输入官网地址，不从链接进。如果非要点击，看完域名再决定。浏览器保存的密码管理器也能帮忙——它只会在真域名下自动填充，假域名它不认。另外，短信里的短链接一律不点，快递问题直接打开官方App查。这些办法不高级，但能挡住九成以上的钓鱼尝试。

网站钓鱼不会消失。它成本低，回报直接，而且总能找到没防备的人。技术手段能拦一部分，但最后一道防线是你手指悬在键盘上的那两秒钟。看一眼域名，慢一点，没坏处。