去年秋天，日本我收到一封邮件，钓鱼发件人显示为“三菱UFJ銀行”。网站点开一看，日本页面几乎和官网一模一样，钓鱼连字体间距都挑不出毛病。网站唯一不对劲的日本是网址——多了一个连字符，结尾是钓鱼“.xyz”而不是“.co.jp”。这就是网站日本钓鱼网站的典型面孔。它们不搞花哨的日本病毒，只靠一个高仿页面，钓鱼等着你亲手把账号密码送进去。网站

日本钓鱼网站的日本数量在2023年创了新高。根据日本网络安全协会的钓鱼统计，全年确认的网站钓鱼站点超过12万个，比前一年翻了近一倍。其中七成以上伪装成银行、快递公司或电商平台。最常被冒用的品牌是佐川急便、亚马逊日本和乐天银行。为什么是这些？因为日本人每天都要用它们。快递通知、订单确认、账户变动——这些邮件太日常了，日常到没人会多想。

我采访过一位住在埼玉县的上班族，姓田中。他收到一条短信，说有一件包裹因地址不全被退回，需要点链接重新填写。他那天确实在等一个配件，没犹豫就点了。页面跳转到“佐川急便”的登录界面，他输入了邮箱和密码。第二天，他的信用卡被刷了23万日元。报警后，警察告诉他，那个网址注册在海外，服务器三天前就关了。“他们就像摆地摊，骗完一个换一个地方。”田中在电话里苦笑。

这些网站的技术门槛低得吓人。我在一个地下论坛看到过打包出售的“日本钓鱼模板”，5000日元一套，包含银行、快递、电商三种页面。买家只需要改一下收款邮箱和跳转链接。更便宜的方案是直接克隆——用工具把目标网站的前端代码扒下来，再把表单提交地址换成自己的。整个过程不到十分钟。有些钓鱼站甚至懒得注册域名，直接用免费的主机子目录，比如“xxx.freehost.jp/bank”。这种网址活不过两天，但两天足够骗到几十个人。

日本用户对钓鱼网站的识别能力并不高。一项针对东京和大阪的问卷调查显示，超过四成受访者表示“无法分辨真假网址”，近三成承认“曾经点过可疑链接”。原因很直接：日本互联网环境长期封闭，很多人只用过雅虎日本和乐天，对域名的敏感度低。加上日语邮件格式固定、敬语规范，伪造起来反而容易——只要语法不出错，看起来就像真的。

钓鱼网站还盯上了电子支付。PayPay、Line Pay、Merpay这些二维码支付工具，用户基数大，操作频繁。伪造一个“账户异常，请验证身份”的页面，诱导输入手机号和验证码，就能直接转走余额。去年大阪一位大学生就这样丢了8万日元。他后来在推特上写道：“那个页面连PayPay的红色logo都一模一样，我根本没想到要看网址。”

怎么防？日本银行协会的建议是“不要点邮件里的链接，直接打开官方App”。但说实话，这招对老年人不友好。我见过一位七十多岁的老人，他连App和浏览器都分不清。更实际的做法是开启多因素认证——即使密码泄露，没有手机验证码也转不走钱。可惜日本很多银行直到2022年才全面推行这个功能。

钓鱼网站不会消失。它们就像便利店门口的假募捐箱，成本低、回报快、风险小。只要还有人分不清“.co.jp”和“.xyz”，只要还有人习惯直接点链接，这门生意就永远有市场。下次收到“账户异常”的邮件，别急着点。先看一眼网址，再打开官方App确认。多花十秒钟，可能就省下几十万日元。