假冒网站

去年秋天，假冒网站我收到一条短信，假冒网站说我的假冒网站银行卡积分即将过期，附了一个链接。假冒网站点进去，假冒网站页面和某银行官网几乎一模一样，假冒网站连logo的假冒网站渐变色都没差。唯一不对劲的假冒网站是网址——多了一个“-cn”。我盯着那串字符看了几秒，假冒网站关掉了。假冒网站后来查证，假冒网站那确实是假冒网站个钓鱼站，服务器设在境外，假冒网站专门套取卡号密码。假冒网站

假冒网站这东西，假冒网站说穿了就是网络世界的仿冒品。它不像假包假表那样能摸到材质，但骗起人来更狠。一个做得好的假站，从视觉到交互，能让你完全察觉不到异样。你输入账号，它转圈，然后提示“密码错误，请重试”。你再输一遍，它又转圈，再提示错误。等你第三次输入时，它已经把你的信息打包发走了，页面跳转到真官网，一切恢复正常。你甚至以为只是自己记错了密码。

做假站的人分几类。最常见的是广撒网型，批量注册和知名品牌相近的域名，比如把“taobao”改成“taobao-qq”或者“taobao.cn.com”。这类站往往粗制滥造，页面图片模糊，链接点不动，但架不住量大，总有人上钩。另一类是精准仿制，针对特定企业或机构的登录页，连验证码的扭曲程度都复刻。我见过一个仿某邮箱的假站，连“记住用户名”复选框的默认勾选状态都一致。这种站背后通常有团队运作，域名存活时间短，打一枪换一个地方。

识别假站，普通人能做的其实有限。看域名是最直接的办法，但很多人根本不看地址栏。浏览器的小锁图标也不可靠，现在申请免费SSL证书太容易了。真正有效的办法是反向操作：不点链接，自己手动输入官网地址，或者用书签。短信里的链接、邮件里的按钮、搜索引擎的广告位，都是假站的重灾区。我自己的习惯是，任何要输密码的页面，先看域名，再看证书颁发机构，最后才决定要不要继续。

有个做运维的朋友告诉我，他们公司内部培训时做过测试，给员工发一封仿真钓鱼邮件，点链接的比例超过三成。其中不乏技术岗。这说明问题不在智商，在于场景。假站往往出现在你注意力分散的时候——赶着付款、急着查快递、刚睡醒看手机。它利用的是惯性，不是漏洞。

法律层面，打击假站一直很难。域名注册商、服务器托管方、CDN服务商，链条太长，跨境取证更麻烦。有些假站活不过24小时，但已经够骗几百人。真正被端掉的，往往是影响特别恶劣或者撞上专项治理的。日常那些小打小闹的，基本靠浏览器厂商和反诈中心拦截。拦截列表更新再快，也赶不上新域名注册的速度。

我自己现在的做法是，把常用网站的登录页全部存成书签，从不通过搜索进入。收到任何带链接的短信，先删掉，再手动打开官方App确认。麻烦是麻烦了点，但比事后挂失、报警、等银行处理要省心。假站不会消失，它只会越来越像真的。你能做的，就是别给它输入第一个字符的机会。

本文地址：http://www.79wt.cn/news/004b9599900.html