手机屏幕亮起来，陌生一条陌生号码发来的号码短信，就一个网址，发网没有称呼，址短没有落款，陌生像一张被风吹到脚边的号码传单。

我盯着那串以“http”开头的发网字符，手指悬在屏幕上方。址短点还是陌生不点？这问题在十年前根本不存在——那时候收到陌生链接，好奇心能直接驱使我戳进去，号码顶多卡顿两秒，发网然后被满屏的址短赌博广告淹没。现在不一样了，陌生我见过太多人因为一次点击，号码微信被盗，发网通讯录被群发，银行卡里的钱像被抽水马桶卷走一样干净。

上个月，我表姐就栽在这上面。她收到一条“孩子的成绩单”短链，没多想就点了。页面做得像模像样，要求输入手机号验证，她填了。第二天，她所有亲戚朋友都收到一条“我换号了，请存新号码”的群发短信，附带另一个网址。她爸差点点进去，好在当时在开车，等红灯时犹豫了一下，没手滑。你看，一个链接背后可能是一条供应链，从你的点击开始，到你的信任被转卖，层层递进，像钓鱼线一样越拉越长。

但真正让我警觉的，不是这类“钓鱼”老套路。最近有批陌生号码发来的网址，短信措辞极简，比如“你上次问的那个，链接：xxx”，或者“照片我整理好了，点这个看”。这种话术高明在它不制造恐慌，而是制造一种“熟人语境”。你会在脑子里拼命检索，谁问我了？什么照片？那感觉像有人在你家门口放了个包裹，上面没写寄件人，但你总觉得可能是自己忘买的东西。人性弱点就在这儿——比起恐惧，我们更难抵抗的是好奇和模糊的记忆。

我试过一次，用一台闲置的旧手机点进去。页面加载很快，是个仿造的登录界面，伪装成某云盘，要求输入账号密码。我随手输了“test”和一堆乱码，它竟然提示“密码错误”，然后跳转到一个真正的云盘官网。这招狠——先让你输一次，失败后跳转真站，你觉得自己刚才只是记错了密码，于是放松警惕，真账号真密码就交出去了。整个过程流畅得像自动扶梯，你走上去，直到出口才发现方向不对。

所以现在，我的手机设置里，陌生号码的短信默认折叠到“垃圾信息”文件夹。但这不是万能的，因为骗子会用伪基站，让短信显示成“10086”或者“95588”那种官方号码。真正管用的办法只有一条：凡是短信里的网址，一律不直接点。哪怕对方自称是你亲爹，你也要先打电话回去确认。别觉得麻烦，一次确认花不了三十秒，但省下的可能是你通讯录里几百个人的信任成本。

我表姐后来换了手机号，折腾了三天。她跟我说，最难受的不是钱，是那种被陌生人牵着鼻子走的感觉，像在暗巷里被人从背后捂住嘴，你不知道他长什么样，也不知道他下一步要干嘛。陌生号码发来的网址，就是那只手。你唯一能做的，是别回头，别理会，直接走过去。