上周我表弟收到一条短信，支付说他的存钓ETC卡过期了，点链接重新认证。鱼风他点进去，险防页面跟官方几乎一模一样，钓鱼的方填了车牌、网站身份证、支付银行卡号，存钓还输了短信验证码。鱼风三分钟后，险防卡里少了八千块。钓鱼的方这不是网站他蠢，是支付钓鱼网站做得太真了。支付钓鱼的存钓核心就一句话：你看到的网址，和你以为的鱼风网址，根本不是一回事。

浏览器地址栏里那串字符，才是你真正要去的地方。骗子最常用的手法是用形近字符替换。比如把字母"l"换成数字"1"，把"rn"拼成"m"。工商银行的官网是icbc.com.cn，钓鱼站可能是1cbc.com.cn，或者icbc.com.co。你扫一眼觉得没问题，点进去就完了。我自己的习惯是，只要涉及支付，绝不从短信、邮件、聊天记录里点链接。手动打开浏览器，自己敲域名，或者用收藏夹里存好的书签。

还有一个细节很多人忽略：HTTPS的小锁图标。以前有锁代表安全，现在不是了。骗子也能申请免费SSL证书，照样有锁。所以别只看锁，要看锁后面那串域名到底对不对。我见过一个钓鱼站，域名是"alipay-service.xyz"，页面做得跟支付宝一模一样，但域名后缀是xyz，跟支付宝半毛钱关系没有。支付宝的官方域名只有alipay.com，其他全是假的。

二维码也是重灾区。路边停车罚单上贴个二维码，说扫码缴费，你扫完跳转到一个支付页面，钱付了，罚单是假的。共享单车上的二维码被替换，扫完跳到个人收款码。我的做法很简单：凡是二维码，先截图，用手机相册自带的识别功能看看里面到底是什么网址。如果是短链接，用短链接展开工具查一下真实地址。多花十秒钟，省得后悔十天。

再说一个真实案例。我同事收到一封邮件，发件人显示"财务部-王经理"，说工资补贴需要确认银行卡信息。邮件里的链接点进去，是一个模仿公司OA系统的登录页。他输了账号密码，页面跳转到一个"系统维护中"的提示。第二天，公司邮箱里多了几百封钓鱼邮件，都是从他的账号发出去的。钓鱼网站不光偷支付信息，还偷你的账号，然后用你的身份去骗你通讯录里的人。

怎么防？第一，任何支付页面，先看域名。不认识、拼写奇怪、后缀可疑，直接关掉。第二，不要在任何非官方App里输入银行卡密码和短信验证码。第三，短信验证码是最后一道防线，谁要都不给，包括自称客服、警察、银行的人。第四，开通支付账户的二次验证，比如指纹、人脸，多一层是一层。第五，定期检查银行流水，发现小额扣款也要警惕，有时候骗子先扣一块钱测试卡是否有效。

我自己的手机里装了两个浏览器。一个日常用，一个专门用来打开不确定的链接。那个浏览器禁用了自动填充、禁用了Cookie、每次关闭都清除记录。麻烦是麻烦，但比钱没了强。支付钓鱼这事，不是技术问题，是习惯问题。你养成手动输域名、核对网址、不随便扫码的习惯，骗子就拿你没办法。他们广撒网，钓的是那些嫌麻烦的人。

最后说一句：如果你已经点了链接、填了信息，第一时间打银行客服冻结卡片，然后修改所有相关密码。别觉得丢人，我表弟那八千块到现在还没追回来。他后来跟我说，当时页面太真了，根本没多想。钓鱼网站赌的就是你"没多想"的那三秒钟。