我上周差点栽在一个“银行”手里。钓鱼的区那条短信说我的网站网站储蓄卡被冻结了，附带的正规链接做得跟真的一模一样——蓝底白字的Logo，客服电话，钓鱼的区甚至还有安全证书的网站网站弹窗。我输完卡号，正规输完密码，钓鱼的区直到它要我填“短信验证码”时，网站网站我才猛地醒过神来。正规真正的钓鱼的区银行，绝不会在网页上要你的网站网站完整验证码。

这个细节，正规就是钓鱼的区钓鱼网站和正规网站最本质的区别：正规网站关心你“是谁”，钓鱼网站只关心你“能给什么”。网站网站前者要验证身份，正规后者要榨取价值。验证码是最后一道闸门，正规银行只会让你在官方App或短信里确认操作，而钓鱼网站在你输完密码后，还会贪婪地追问更多——因为它知道你马上就要离开了，它得在几秒钟内榨干你所有的凭证。

再去看网址。钓鱼网站最爱玩“障眼法”。比如把“www.cmbc.com.cn”写成“www.cmbc.com.xyz”，或者用“1”代替“l”，用“0”代替“o”。我见过最离谱的一个，把“paypal”拼成了“paypa1”，不加仔细看根本发现不了。正规网站呢？它们根本不需要玩这种文字游戏，因为域名就是它们的脸面，越大的公司，域名越短越干净，而且一定带HTTPS锁标。但请注意——钓鱼网站现在也搞HTTPS了，那个小锁头已经不能作为安全凭证了。真正的判断标准是：你有没有主动输入这个网址？还是从短信、邮件、陌生聊天框里点进去的？

还有个特别容易被忽略的破绽：页面上的“联系客服”按钮。正规网站的客服入口一般藏在页面底部或“帮助中心”里，你要找半天。钓鱼网站恰恰相反，它把“在线客服”弹窗怼到你脸上，还配一个倒计时——“您将在30秒后掉线”。为什么？因为它怕你冷静下来。它需要制造紧迫感，让你没时间检查网址，没时间给真正的银行打电话。正规网站恨不得你多读几遍条款，钓鱼网站恨不得你三秒内输完所有东西。

再看看输入框的反应。正规网站的密码框通常会屏蔽右键粘贴——不是故意刁难，而是防止你的密码被恶意脚本读取。钓鱼网站呢？它巴不得你复制粘贴，甚至有些还会在你输入密码时偷偷记录你的按键节奏。我有个程序员朋友说过一句糙理不糙的话：“正规网站的设计者怕你出错，钓鱼网站的设计者怕你反悔。”

最后说点实际的。如果你已经点进去了，别急着退——先随便输个错误的密码。正规网站会提示你“密码错误”，钓鱼网站往往会直接放行到下一步，因为它根本不知道你的真实密码是什么，它只是想把流程走完。这一招，比看任何安全教程都管用。当然，最稳妥的办法还是那句话：所有涉及钱的操作，都从你自己收藏的官方网址进，别信任何短信、邮件、社交软件里的“安全链接”。那些链接，就像伪装成警察的骗子——制服是真的，证件是假的，但你一慌，就什么都信了。