账号密码输进去，账号站页面转了三秒，怪网弹出来一行红字：“用户名或密码错误”。账号站

我盯着屏幕，怪网后背有点发凉。账号站这网站我上周刚注册，怪网密码是账号站系统自动生成的那串乱码，我特意存进了备忘录。怪网怎么可能错？账号站

点“找回密码”，邮箱收到链接，怪网重置完，账号站再登。怪网又错。账号站

第三次尝试时，怪网我注意到地址栏——域名后缀是账号站.top，不是我印象里的.com。我翻出邮件，注册确认信里的链接指向另一个域名，长得几乎一样，只是把字母l换成了数字1。

我进的是个仿冒站。但问题来了——它怎么知道我注册过？怎么知道我邮箱？甚至在我输入账号的瞬间，它调出了我的真实密码错误记录，装作“验证失败”的样子，其实在收集我每轮输入的密码组合。

这种网站不偷钱，不弹广告，不诱导下载。它唯一做的事，就是让你反复登录失败，直到你放弃，或者换一个密码再试。每一次失败，它都记录你新输入的密码片段。你以为在登录，其实在给一台密码猜测机器喂数据。

后来我查了查，这类“账号怪网站”有个专门称呼，叫“凭证缓冲池”。它们专挑那些大网站的用户下手，注册近似域名，伪装登录页，但故意不做成钓鱼网站——因为钓鱼有风险，容易被举报封站。它们要的是长期潜伏，让受害者自己把密码“送”上门。

有个细节最阴：它们会故意保留你输入的用户名，然后提示“密码错误”，等你换个密码再试。如果你在别处用了同一套密码，那等于亲手把钥匙交出去。更绝的是，有些还会模拟“账号被锁定”，逼你去点“忘记密码”，然后记录你新设的密码——这条链直接通向你真正的邮箱。

我删掉那个书签，改了所有关联邮箱的密码，折腾到半夜。第二天上班，同事说起他爸收到“银行系统升级”短信，点进去输了卡号密码，卡里钱没少，但三天后网上银行被异地登录——不是盗刷，是拿他的身份信息去申请贷款。

这年头，坏人不直接抢，他们养鱼。养肥了再杀。

我写这个不是吓唬谁，但真得留个心眼：登录前看域名，别用浏览器自动填充密码，更别在陌生页面输入“新密码”。那些看起来只是“登不上去”的网站，可能正在帮你给黑客写自传。

对了，那个怪网站后来我反查了下IP，服务器在境外，注册信息全是假的。你拿它没辙，只能自己绕道走。就像路上有个坑，你不会去填平它，但你会记住，下次换条路。