上个月我同事收到一条“银行”短信，网址说他的不钓卡被冻结了，点链接输验证码就能解冻。鱼网他手快，网址点进去一看，不钓页面做得跟真的鱼网一模一样，连客服弹窗都有。网址输完密码的不钓下一秒，卡里两万八没了。鱼网后来才知道，网址那个网址是不钓 `http://bank-verification.xyz`，跟真正的鱼网 `bank.com` 差了十万八千里。

钓鱼网站的网址核心就一个字——仿。仿登录页、不钓仿支付页、鱼网仿中奖通知。但仿得再像，网址骗不了人。所以第一步，别点链接，先看域名。把鼠标悬停在链接上（手机就长按），浏览器底部会弹出真实地址。如果显示的是 `paypal.com.secure-login.net` 这种结构，直接关掉。真正的域名，`.` 后面那个主部分才是关键，`paypal.com` 后面再跟任何东西，都是假的。

第二步，看协议和前缀。正规网站现在基本都是 `https://`，有把小锁。但注意，有小锁不代表安全——钓鱼网站也能花钱买SSL证书，装上锁图标。你真正要看的，是地址栏里域名前面有没有奇怪的符号或数字。比如 `http://192.168.1.1/login` 这种纯IP地址的，十有八九是内网钓鱼。还有用 `@` 符号的，比如 `http://www.bank.com@evil.com`，浏览器会忽略 `@` 前面的内容，直接跳到 `evil.com`。这种老把戏现在还在用，专骗不看地址栏的人。

第三步，查注册信息。这招最土但最有效。打开一个WHOIS查询网站（比如 `whois.com` 或 `who.is`），输入那个可疑域名。看注册时间——如果这个“银行官网”是上周刚注册的，注册人还在冰岛，你觉得合理吗？正规大公司的域名通常注册了十几年，注册商和联系方式都是公开透明的。钓鱼域名往往注册不超过三个月，注册信息还故意打码或用隐私保护。

再教你一个野路子：故意输错密码。真网站会提示“密码错误”，钓鱼网站往往直接跳转或者显示“系统繁忙”。因为钓鱼页面的后台脚本只负责抓取你输入的内容，根本没做真正的验证逻辑。我试过好几次，输个 `asdfgh` 进去，假的页面要么卡住不动，要么直接弹个“登录超时”让你再输一遍——这就是在套你第二轮密码。

最后，别太信搜索引擎的“广告位”。很多人搜“淘宝登录”，点进第一个带“广告”标签的链接，结果进了仿站。这些广告位是可以花钱买的，钓鱼者专挑大品牌关键词竞价。真正想上淘宝，自己输 `taobao.com` 进地址栏，别用搜索。

说到底，判断钓鱼网站不需要什么高深技术，就是懒不得。多花十秒钟看域名、看注册时间、故意输错一次密码，能省下几万块。我那个同事现在学乖了，每次收到链接都先截图发群里问一句：“这网址正经吗？”——你别说，群里总有人一眼就能看出毛病来。人多眼杂，这招比任何杀毒软件都灵。