钓鱼类诈骗网站

上个月我收到一条短信，说我的类诈ETC卡即将过期，点链接在线续期。骗网链接打开后是钓鱼一个几乎和官方一模一样的页面，连LOGO的类诈像素边缘都抠得干净。我随手输了假名字和假卡号，骗网页面居然提示“验证通过，钓鱼正在跳转银行”。类诈三秒后，骗网跳转到一个要求输入短信验证码的钓鱼框。我关掉页面，类诈后背有点发凉——如果我当时填的骗网是真信息，钱已经没了。钓鱼

这就是类诈典型的钓鱼网站。它不黑进你的骗网电脑，不破解你的密码。它只是搭一个假门，让你自己把钥匙递过去。技术含量低到发指，但成功率从来都不低。

我后来翻了翻反诈中心的数据，2023年国内钓鱼网站举报量超过120万个，平均每天新增3000多个。这些站点的存活时间中位数只有8小时。什么意思？骗子批量注册域名，群发短信，等你上钩。一旦得手或者被举报，立刻关站换皮，明天换个域名继续。成本？一个域名十几块钱，一套仿站模板网上免费下载。骗到一个人，利润就是几千几万倍。

钓鱼站最狠的地方在于视觉欺骗。你仔细看，域名可能只是把icbc.com.cn改成了icbc.com.co，或者taobao换成taobao（用西里尔字母a）。手机屏幕上，地址栏缩成一小条，谁没事去放大看？页面里的“安全控件”是假的，但那个绿色小锁图标是真的——骗子也买了SSL证书。浏览器地址栏一显示锁，大多数人就信了。

还有一种更阴的，叫“子域名钓鱼”。比如apple.com.verify-login.xyz。前面挂着apple.com，后面跟着乱七八糟的东西。人眼从左往右读，看到Apple就放心了。实际上真正的主域名是verify-login.xyz。这招在邮件里特别管用，因为邮件客户端经常把长链接截断，只显示前半截。

我观察到一个规律：钓鱼站最爱蹭三类热点。一是银行和支付，二是快递和ETC，三是社保和公积金。为什么？因为这些事你不敢拖。短信里写“您的账户将在24小时内冻结”，你手一抖就点了。骗子赌的就是这个“急”字。你越急，越不会去核对域名。

那怎么防？我自己的习惯就三条。第一，任何短信里的链接，一律不点。要办业务，自己打开官方APP。第二，看域名只看最后一个点后面的部分。比如mail.qq.com，真正的主人是qq.com，前面都是子域名。第三，输密码前问自己一句：这个页面是我主动找来的，还是被人催着来的？如果是后者，关掉。

去年有个案子，一个钓鱼团伙用“ETC过期”的套路，两个月骗了200多万。受害者里不少是年轻人，不是不懂电脑，是刚好在开车、在开会、在带孩子，脑子没转过来。骗子不需要你蠢，只需要你忙。

技术手段也在升级。现在有些钓鱼站会检测你是不是用了安全软件。如果发现你在用某款浏览器或者装了反诈插件，它直接跳转到真官网，让你查不出问题。等你换个环境再访问，假页面又出来了。还有的用短链接+跳转链，一层套一层，最后落地页只存活几分钟，反诈数据库根本来不及收录。

说到底，钓鱼网站利用的不是系统漏洞，是人的注意力漏洞。你盯着屏幕上的“紧急通知”，就没空去看地址栏那串小字。你想着“赶紧处理完”，就忘了问“这链接哪来的”。

下次再收到那种“不点链接就完蛋”的短信，不妨先放下手机，喝口水。骗子最怕的，就是你突然不急了。