钓鱼网站是如何泄露信息的

一个做外贸的钓鱼姑娘，在“公司邮箱”里收到一封“客户”发来的网站付款链接。页面和某银行官网一模一样，何泄连favicon都没差。露信她输了账号密码，钓鱼又按提示填了短信验证码。网站三分钟后，何泄卡里的露信四万美金被拆成十几笔转走。她后来跟我说，钓鱼当时唯一觉得不对劲的网站地方是——页面加载快了那么一点点。

钓鱼网站偷信息，何泄靠的露信从来不是技术多高明，而是钓鱼让你在某个瞬间放弃思考。它不需要攻破银行服务器，网站只需要在你和真实网站之间，何泄插一个长得一模一样的冒牌货。

它到底怎么拿到你的密码

你打开链接，看到熟悉的Logo、熟悉的输入框，于是开始打字。这些字符并没有发往银行，而是进了钓鱼者自己搭的数据库。有些钓鱼站点甚至懒得加密，你输的密码就明文躺在某个txt文件里。更省事的做法是直接调用真实网站的表单接口，你这边点击登录，浏览器确实向真银行发了请求——但中间人把你输入的账号密码截下来存了一份，再把请求转发出去。你顺利登进去了，什么异常都没发现。

短信验证码也一样。页面弹出一个框：“请输入手机收到的验证码”。你以为是在验证身份，其实那个框是钓鱼页面自己画的。你填进去的数字，实时出现在钓鱼者的聊天窗口里。他们拿着你的账号密码加验证码，在真正的银行页面完成登录和转账。整个过程，你只是个验证码搬运工。

域名里的把戏

很多人以为看域名就安全了。钓鱼者早想到了。他们注册icbc-login.com、paypa1.com（数字1代替字母l）、taobao.cn.com这种。手机浏览器地址栏窄，前面一截经常被折叠，你只看到taobao.cn，以为没问题，实际主域名是cn.com。还有一种更隐蔽的：利用正规平台的开放重定向漏洞。链接开头是https://www.zhihu.com/redirect?url=，后面跟钓鱼地址。你看到知乎的域名，放心点了。

我见过最绝的一个，用中文域名。苹果.com和苹果.com看起来一样，其中一个的“苹”是西里尔字母。肉眼根本分不出来。

为什么总有人上当

钓鱼页面通常配一个紧急理由。邮箱容量已满，点此扩容；你的账户存在异常登录，请立即验证；ETC过期，今日不处理将注销。人在着急的时候，前额叶皮层基本不工作。那个外贸姑娘后来回忆，她当时正催一笔货款，看到“客户”发来的付款链接，脑子只想着赶紧确认到账，根本没注意发件人地址比平时多了一个连字符。

另一个原因是页面太像了。现在做钓鱼站的人直接用工具扒真实网站的前端代码，CSS、图片、交互效果全部照搬。普通用户唯一的辨别机会，就是地址栏那串字符。可很多人根本不看地址栏，或者看了也看不出差别。

信息泄露之后

你的账号密码进入钓鱼者的数据库，通常会被打包出售。一个包含邮箱和密码的文本文件，在黑市上卖几十到几百块不等，看目标价值。如果是银行或支付平台，价格更高。买家用这些信息去撞库——拿你在这个网站用的密码，去试你的其他账号。很多人所有平台同一个密码，撞开一个等于撞开全部。

短信验证码被实时转发后，你的手机号也会被标记为“活号”，后续会收到更多精准诈骗短信。有人被钓走信息后，接下来三个月每天收到三四条冒充银行、快递、社保的短信。钓鱼不是一次性事件，是把你拉进了一个持续被骚扰的名单。

那个外贸姑娘后来换了所有密码，开了双重认证。她说现在收到任何链接，都先复制出来，在记事本里看一眼真实地址。这个习惯救过她两次。钓鱼网站不会消失，但你可以让那个“放弃思考的瞬间”来得晚一点。

本文地址：http://www.79wt.cn/news/1562a1499829.html