上周我收到一条短信，何避说我的免进快递在转运中心被扣了，附了一个链接让我“补填地址”。入钓点进去的鱼网页面跟某快递官网几乎一模一样，连logo的何避阴影都仿了。唯一不对劲的免进是网址——末尾是“.cc”而不是“.com”。我同事就没这么幸运了，入钓他在类似页面填了手机号和验证码，鱼网第二天银行卡被刷走三千块。何避

钓鱼网站不是免进靠技术漏洞黑进你电脑，它骗的入钓是你的眼睛和手指。绝大多数人被骗，鱼网是何避因为压根没看地址栏，或者看了也看不出区别。免进比如把“taobao”写成“taobao-official.com”，入钓把“icbc”换成“1cbc”（数字1代替字母i）。这些障眼法在手机小屏幕上尤其管用。

那怎么躲开？第一件事，别信任何短信或邮件里的链接。不管它说中奖了、账户异常、还是快递丢了。直接打开你手机里官方App，或者手动输入你记得的网址。我自己的习惯是：所有银行、支付、购物类操作，只从收藏夹或官方App进。短信里的链接？长按看看完整域名，十有八九是乱码一样的字母组合。

看域名的时候，别只看开头。钓鱼网站最爱把真品牌名放在二级甚至三级域名里。比如“apple.com.verify-login.xyz”，你一眼扫过去看到“apple.com”就放心了，其实真正的主域名是“verify-login.xyz”。记住：域名从右往左读，最后一个点后面的才是真正身份。“.com”和“.cn”可信，但“.xyz”“.top”“.cc”这些便宜后缀要格外警惕。

还有个笨办法但很管用：故意输错密码。如果你不确定某个页面是不是真的，先输一个错误密码。真网站会提示“密码错误”，钓鱼网站往往直接让你“登录成功”然后跳转——因为它根本不验证，只负责偷。我试过一次，在一个仿冒的邮箱登录页输“123456”，居然直接进了收件箱，里面全是空白。当时就笑了，这骗子也太敷衍。

浏览器其实会给你提示。地址栏左边有个小锁图标，点开看证书信息。真网站证书是颁发给具体公司的，比如“GitHub, Inc.”。钓鱼网站要么没锁，要么证书是免费的Let‘s Encrypt签给一个乱码域名。另外，如果页面突然弹窗让你装什么“安全控件”或“根证书”，直接关掉。正经网站不会在你登录前要求装东西。

手机上的钓鱼更隐蔽。有些恶意App会伪造系统弹窗，说“您的Apple ID已被锁定，请立即验证”。你一点“验证”，它就跳到一个全屏网页，地址栏都被隐藏了。遇到这种情况，按Home键或上滑回桌面，看那个弹窗是不是消失了——真系统弹窗不会因为你切后台就没了。

最后说个反常识的：别太相信“https”和那个绿色锁。现在申请免费SSL证书只要几分钟，钓鱼网站照样能用https。锁只代表数据传输加密，不代表对方是好人。我见过一个仿冒某电商的钓鱼站，https证书齐全，页面设计比真官网还精致。唯一的破绽是——它要求你输入银行卡密码，而真电商从来不要这个。

说到底，避免钓鱼网站的核心就一条：对任何主动找上你的链接保持怀疑。你主动去的网站，哪怕输错一次域名，也比点别人给的链接安全十倍。我现在的原则很简单——短信里的链接一律不点，邮件里的链接先看域名，网页弹窗一律关掉。麻烦吗？有点。但比银行卡被盗刷后打客服电话、跑派出所、等半个月退款要省事得多。