凌晨两点十七分，钓鱼我盯着银行发来的网站扣款短信，后背一阵发凉。泄露信息三笔总计八千六百元的个人消费，全部来自一家我从未注册过的钓鱼境外购物网站。回溯半天，网站唯一的泄露信息可疑操作是上午点击过一封“社保账户异常”的邮件——那封邮件的链接指向一个仿冒得几乎完美的社保局官网。

这不是个人个例。我朋友老周上个月在“航空公司”发来的钓鱼改签短信指引下，输入了身份证号和银行卡密码，网站十分钟后卡里两万三被划走。泄露信息那个所谓的个人“官网”域名是air-china-verify.com，比真官网多了一个连字符和verify，钓鱼字体排版几乎一模一样。网站他后来跟我说：“谁能想到呢？泄露信息我还在奇怪为什么页面没有弹出安全证书警告，但当时赶时间。”

钓鱼网站的可怕之处，恰恰在于它不偷你的密码，而是让你主动交出去。骗子搭好一个以假乱真的戏台——仿冒银行、仿冒运营商、仿冒政府机构——然后利用你的恐惧或贪婪，让你亲手把个人信息递到他们手里。技术门槛低得惊人：一套现成的钓鱼模板几十块钱就能买到，加上一个廉价域名和虚拟主机，整个作案成本不到两百元。

但真正让人防不胜防的是那些“个性化”的鱼饵。今年三月，一个朋友收到一封邮件，抬头精确写着她孩子的名字和就读学校，内容是关于“助学金申请材料补充”。她差点就点了，最后因为邮件落款处的教育局公章颜色偏淡才起了疑心。后来查证，那个学校的家长信息在两个月前发生过一次大规模泄露——很可能就是那次泄露的数据，被钓鱼团伙买去做成了精准诱饵。

这就是信息泄露的连锁反应：你的手机号、住址、甚至孩子的班级，每泄露一次，就为下一次钓鱼增加一分可信度。骗子不需要骗所有人，他们只需要在成千上万封邮件里，骗到那百分之一恰好近期有社保业务、有航班预订、有孩子上学的人。

我自己的教训是：从那以后，凡是任何渠道发来的链接要求输入密码或验证码，我都先手动打开官方App或官网，搜索那个“业务”是否存在。麻烦吗？麻烦。但比起半夜爬起来挂失银行卡、跑派出所做笔录的麻烦，这点麻烦不值一提。另外，我养成了每周查一次个人征信报告的习惯——免费的，一年两次，能看到有没有人用你的身份去申请贷款。

钓鱼网站不会消失，就像小偷不会绝迹一样。但你可以让自己变成难以下手的那个目标。别信“紧急通知”，别点陌生链接，别嫌两步验证烦。记住：真正的银行和政府部门，永远不会通过一个短链接让你输入密码。就这么简单，但能做到的人，太少。

(责任编辑：休闲)