早上七点，苹果我收到一条短信：“您的钓鱼Apple ID异常登录，请立即验证，网站否则24小时内永久锁定。苹果”链接长得像苹果官网，钓鱼域名却是网站app1e-verify.xyz。我差点就点进去了——如果不是苹果刚喝完咖啡，手边正好放着昨晚没关的钓鱼MacBook。
钓鱼网站不蠢。网站它们比五年前进化了太多。苹果早年的钓鱼骗局漏洞百出，页面字体歪斜，网站Logo像被压扁的苹果番茄。现在的钓鱼仿冒页面几乎以假乱真，连苹果官网底部的网站法律声明都一字不差。你甚至能通过SSL证书检查——绿锁、https、正规签发机构，全都有。骗子花几十美元买了个通配符证书，就换来了受害者的信任。
我做过一个测试。把钓鱼链接发给三个朋友，问他们能不能看出问题。一个说“网址不对劲”，但说不清哪里不对；另一个直接问我“你是不是被盗号了”；第三个没回消息——半小时后他发来截图，已经输入了密码，被系统提示“密码错误”两次。他还在抱怨苹果服务器不稳定。
这就是问题所在。钓鱼网站不靠技术取胜，靠的是心理。它们利用的不是你的疏忽，而是你对“官方通知”的条件反射。苹果的推送、银行的短信、快递的电话——现代人每天被几十条系统消息轰炸，早就丧失了逐字核对的能力。骗子深谙此道，他们把骗局包装成你熟悉的样子，然后等你犯错。
有一次我故意在钓鱼页面输入了一串假密码“password123”，点击登录后页面刷新，又弹出一个窗口：“请输入两步验证码”。这是进阶套路，他们连双重认证都伪造了。真正的苹果不会在同一个页面连续索要验证码，但被钓鱼的人往往已经慌了，脑子里只有一个念头：赶紧验证，别让账号被锁。
最讽刺的是，钓鱼网站的目标往往不是你的Apple ID密码。他们拿到密码后，会立刻尝试用同一组邮箱和密码去登录你的支付宝、网银、甚至公司系统。密码复用才是真正的灾难。我见过一个受害者，他的Apple ID密码和邮箱密码相同，结果半天之内，通讯录、备忘录、iCloud照片全被导出，然后收到一封勒索邮件，威胁要把他的私人照片发给所有联系人。
怎么防？别信“官方”两个字。苹果永远不会用短信发链接让你验证账号。真要检查账号状态，自己打开浏览器，输入apple.com，别点任何短信里的链接。这个动作花不了十秒钟，但能挡掉九成以上的钓鱼攻击。另外，开启双重认证，用密码管理器生成随机密码，别怕麻烦——麻烦总比被清空相册强。
我后来回了那条钓鱼短信，用表情包骂了对方一顿。没收到回复。但我知道，骗子们正在批量发送同样的消息，总有人会在某个疲惫的深夜，迷迷糊糊地输入自己的真实密码。那个瞬间，钓鱼网站就赢了。