防范钓鱼网站的有效手段

上个月我收到一条短信，防范说我的钓鱼的有段银行账户异常，附了一个链接。网站点进去页面跟真的效手一模一样，连logo的防范阴影都对。我差点输了密码，钓鱼的有段最后发现网址里多了个“-cn”。网站这种事现在太常见了，效手钓鱼网站已经不是防范什么粗糙的骗术，它正在变得精细、钓鱼的有段耐心，网站甚至有点“专业”。效手

要防住它，防范光靠“别乱点链接”这种口号没用。钓鱼的有段你得知道它怎么运作，网站然后在几个关键节点上卡死它。

网址栏是你最该盯的地方

钓鱼网站最怕你仔细看地址栏。它们常用的手法有几种：把“o”换成“0”，把“l”换成“1”，或者在正规域名后面加后缀，比如“icbc.com.cn.secure-login.xyz”。真正的域名是最后那一段，前面全是子域名或者伪装。我养成了一个习惯，任何要输密码的页面，先看地址栏最右边那一段是什么。如果是“xyz”“top”“club”这类便宜后缀，直接关掉。

还有一种更隐蔽的：利用浏览器的地址栏省略功能。有些手机浏览器会把长网址中间部分隐藏，只显示开头和结尾。骗子就利用这点，把真域名放在开头，实际跳转的却是另一个站。对策很简单，点一下地址栏，让完整网址展开。

别信页面，信你主动打开的那个入口

邮件、短信、微信里发来的链接，一律当作可疑对象。哪怕发件人显示的是你认识的人。我有个朋友，他同事的邮箱被盗，骗子用那个邮箱给他发了份“会议纪要”，点开就要登录网盘。他输了账号密码，第二天网盘里所有文件被清空。

正确的做法是：关掉消息，自己打开浏览器，手动输入官网地址，或者用你收藏的书签。多花十秒钟，能避开九成以上的坑。银行、电商、邮箱，这些高频目标，全部走书签。书签不会骗你。

双重验证不是万能，但没有它万万不能

就算密码被钓走了，如果对方拿不到第二重验证，也进不去。短信验证码比没有强，但SIM卡劫持和伪基站能截走它。更稳的是动态口令App（比如Google Authenticator）或者硬件密钥。我自己的重要账户全部绑了动态口令，钓鱼网站拿到密码后卡在验证码那一步，它那个假页面根本收不到我App里生成的码。

有个细节：真正的网站让你输验证码时，页面是你已经登录后的界面。钓鱼网站往往在第一步就要你输验证码，这本身就不对劲。顺序错了，就是假的。

浏览器和密码管理器能帮你挡一道

现代浏览器内置了钓鱼网站库，Chrome和Edge遇到已知的钓鱼站会弹红色警告。别忽略那个警告，点“返回安全页面”。密码管理器更直接：它只会在域名完全匹配时才自动填充。如果页面看着像银行，但密码管理器不填，那这个页面就有问题。我靠这个功能识破过好几次伪装成PayPal的钓鱼页。

另外，别在不同网站用同一个密码。钓鱼站拿到一个，撞库能撞出一串。密码管理器生成随机密码，你只需要记住一个主密码。

最后说个反直觉的

HTTPS和那个小锁图标不代表安全。现在申请免费SSL证书太容易了，钓鱼网站也能上HTTPS。锁只说明连接是加密的，不说明对面是谁。别看到锁就放心输密码。

防范钓鱼网站，核心不是技术对抗，是习惯对抗。把“主动输入网址”“检查域名后缀”“启用动态口令”“用密码管理器”这几件事变成肌肉记忆。骗子在进步，你的操作习惯也得跟着升级。慢一点，疑心重一点，比任何安全软件都管用。