内容摘要：QQ头像闪动，一条消息弹出来：“同学，你中奖了，点这个链接领奖。”链接短得像条蚯蚓，后缀是“qq-verify.cn”之类。但凡手指一抖点进去，就是一个高仿的QQ登录页——logo、配色、字体，连输入

QQ头像闪动，钓鱼一条消息弹出来：“同学，网站你中奖了，钓鱼点这个链接领奖。网站”链接短得像条蚯蚓，钓鱼后缀是网站“qq-verify.cn”之类。但凡手指一抖点进去，钓鱼就是网站一个高仿的QQ登录页——logo、配色、钓鱼字体，网站连输入框的钓鱼圆角弧度都模仿得一丝不苟。你输入账号密码，网站页面转两圈，钓鱼提示“系统繁忙，网站请稍后重试”。钓鱼然后你的QQ就在异地登录了，好友列表里开始有人收到借钱消息。

这种钓鱼站点的技术含量低得惊人。我见过一个后台源码，就一个HTML文件加一个PHP接收脚本，数据库都省了，直接往txt文件里写账密。搭建成本不超过十块钱，域名用免费二级域，服务器挂海外，存活周期平均不到三天。但就是这种粗制滥造的东西，每天能骗到几百人。为什么？因为攻击者根本不跟你玩技术对抗，他们玩的是人性弱点。

钓鱼站点的核心逻辑就一条：让你着急。急中奖兑现，急账号异常，急朋友借钱。人一急，眼就瞎。我有个室友，计算机系的，平时写代码挺溜，结果看到“QQ号被人举报，24小时内不验证将永久冻结”的弹窗，照样手忙脚乱地输了密码。事后他骂自己蠢，但下次遇到“免费领皮肤”的链接，还是差点又点进去。

你以为钓鱼网站只骗小白？错了。进阶版会抓取你的QQ昵称、头像、最近聊天记录，在登录页上直接显示“欢迎回来，张三”，再配上你常聊天的好友昵称列表。这种定制化钓鱼，连老网虫都容易中招。更狠的是中间人攻击，钓鱼站实时转发你的登录请求到真正的QQ服务器，你这边登录成功，那边攻击者已经拿到了session token，根本不需要你的密码。

对付这玩意儿，腾讯其实做了不少事。域名检测、危险网址拦截、异地登录提醒，但道高一尺魔高一丈。钓鱼站点现在会做“首次访问跳转”——搜索引擎和爬虫来的时候显示正常页面，真人点击才跳转到钓鱼页。还有用短链接服务做跳转的，一层套一层，等你到了钓鱼页，前面的中间跳转记录早就被清了。

说点实在的。我自己的习惯是，凡是要输QQ密码的页面，先看地址栏。真正的QQ登录域只有qq.com和其子域名，其他一概不信。鼠标悬停在链接上，看浏览器左下角显示的完整URL，比肉眼分辨logo颜色靠谱得多。密码用单独的强密码，跟邮箱、网银分开。开了设备锁和登录保护，就算密码泄露，对方也登不进去。

最后讲个真事。有个钓鱼站长被黑吃黑，后台里存的几千条账密被人拖库，然后他自己的QQ也被盗了。盗他号的人用他的号去骗他好友列表里的“客户”，其中就有他女朋友。他女朋友没上当，因为她记得男友说过“我不用QQ了，有事微信”。你看，连骗子都栽在细节上。网络钓鱼这行当，终究是聪明反被聪明误。