浏览器地址栏里清清楚楚地写着“www.bankofchina.com”，模拟我甚至核对了两遍拼写——每个字母都对。访问页面右上角那个绿色小锁图标也在，正规站SSL证书看起来毫无破绽。网站可我就是却进情景觉得不对劲。

首页的入钓banner图比平时模糊了那么一点点，像被人用Photoshop降过分辨率。鱼网导航栏的模拟字体也不是我记忆中的宋体，换成了更细的访问等线体。我点开“个人网上银行登录”，正规站弹出的网站窗口倒是像模像样，要我输用户名和密码。却进情景就在我准备敲键盘的入钓那一瞬，鼠标不小心碰到了页面底部的鱼网“联系我们”——跳出来的地址是“北京市朝阳区xx路xx号”，可我分明记得中国银行总行在复兴门内大街1号。模拟

冷汗一下子冒出来了。我赶紧关掉页面，重新从收藏夹点进真正的官网。对比之下，钓鱼网站的logo颜色偏浅，页脚备案号多了个不存在的“-1”后缀。最要命的是，它在我输入密码前居然没有要求安装安全控件——那玩意儿虽然烦人，但确实是真网站的标配。

后来我查了查，这种钓鱼手法叫“域名相似攻击”，用“0”代替“o”，或者把“l”换成“I”。技术含量不高，但架不住有人粗心。骗子甚至懒得做整站克隆，只抄了首页和登录页，因为绝大多数人输完密码就离开了，根本不会去点其他链接。

我有个朋友就没这么幸运。他在某电商平台“周年庆”活动页面输入了支付密码，那个页面连域名都是“taobao-shop.com”这种明显拼接的。但他那天喝了酒，又赶着抢限量款，就这么把银行卡信息和手机验证码全交了出去。第二天醒来，卡里少了八千块。报警时警察问他怎么没注意域名，他愣了半天：“我哪知道要盯那个啊，看页面长得像就信了。”

这件事给我的教训是：别迷信那把小绿锁。钓鱼网站现在也能申请到SSL证书，有些甚至用免费证书伪装成https。真正靠谱的验证方式是主动——主动输入网址，别点邮件里的链接；主动看域名，不是光看页面内容；主动摸一下页面上的图片，真网站的logo通常像素清晰，假网站的图放大后会有锯齿。

还有个小细节：把鼠标悬停在页面任何可点击的按钮上，浏览器左下角会显示真实链接地址。真网站的跳转路径一般干净，比如“/login”或“/user/verify”，而钓鱼网站的链接往往带着一串乱码参数，或者干脆指向“/wp-admin”这种建站后台路径——那说明对方用的是现成模板，根本没心思做伪装。

现在我的浏览器收藏夹里存着所有常用银行和支付工具的官方网址，每次登录前强制自己从收藏夹点进去。麻烦是麻烦了点，但总比某天突然收到“您的账户存在异常”短信，然后发现自己卡里只剩个位数强。那些短信十有八九也是钓鱼的，链接一点，手机就可能中招。

那天晚上我差点中招后，特意给几个不常联系的老同学发了条微信，提醒他们检查最近有没有收到“银行系统升级”之类的短信。有个家伙回我：“早看到了，但链接点进去要装什么安全证书，我就退了。”——得，这倒歪打正着躲过一劫。钓鱼网站最怕的就是用户多留个心眼，哪怕只是多花五秒钟看看网址栏，他们十单里能成三单就不错了。