老周被骗走八万块那天，虚假我正好在派出所做笔录。网站他蹲在走廊里，诈骗手机屏幕还亮着，虚假那个伪造的网站“公检法”网站页面在阳光下泛着冷光。老周说，诈骗对方让他输入银行卡号时，虚假页面右上角明明有个绿色的网站小锁图标。

那个锁是诈骗假的。骗子花三百块买的虚假模板，连域名都带着拼写错误——police-security.com，网站中间那个横杠就是诈骗破绽。可老周没看出来，虚假他当时正被“涉嫌洗钱”的网站警告吓得手心冒汗。人一慌，诈骗眼睛就瞎了。

虚假网站诈骗的门道，说白了就三层。第一层是伪装。他们复制正规银行、政务平台的页面，连字体间距都调得一模一样。我见过最狠的案例，骗子直接租用被黑掉的合法服务器，把钓鱼页面挂在真域名下，连浏览器自带的“可信网站”认证都能骗过去。第二层是施压。短信里写“账户异常即将冻结”，电话里说“两小时内不处理就立案”，所有话术都往你软肋上戳。第三层才是收割——等你输入密码、验证码，钱在三十秒内就被转走，连追回的窗口期都不给你留。

有个细节特别讽刺。那些钓鱼网站的客服窗口，回复速度比真银行快多了。凌晨三点发消息，秒回。真银行的人工客服九点才上班。骗子比正经机构更“敬业”，就靠这个抢时间差。

我认识个搞网络安全的朋友，他说现在虚假网站的技术门槛低得吓人。花几百块买个钓鱼工具包，拖拽式操作，连代码都不用写。有些工具包还自带“防追踪模式”，自动清除访问记录，甚至能检测用户是否开启VPN。最离谱的是，有款工具自带“客服话术库”，分门别类整理了几百种应对方案——你说“我要报警”，它立刻弹出“已为您转接警察”的假页面，背景音还配着对讲机电流声。

今年三月，有个做外贸的老板收到一封“海关查验通知”邮件，链接指向仿冒的政务网站。他输完法人信息后，对方又要求“缴纳保证金”到指定账户。老板说，那个网页上连国徽都清晰得能看见纹路，他实在没法不信。

其实破绽一直在。真网站不会要求你提供短信验证码以外的任何密码。真警察不会在电话里做笔录。真法院传票不会让你扫码缴费。可这些常识在紧张状态下全被扔到脑后。我见过最荒唐的案例，受害者被骗子指导着下载了“安全防护APP”，结果那是个远程控制软件，骗子通过屏幕共享看到他输入的每一个密码。

写这些不是让你背防骗口诀。那些“三不一多”的标语贴满小区电梯，照样有人中招。我想说的是，下次再遇到让你输密码的页面，先做件小事——把网址复制到搜索引擎里，后面加上“骗子”两个字。要是搜索结果里跳出别人的受骗经历，立刻关掉页面。这个动作花不了十秒，但能救回你卡里可能存了好几年的积蓄。

老周后来追回了三万块，因为骗子用的收款账户是某个被“兼职刷单”骗走身份证的人开的。剩下五万块，像沉进河里的石头。他蹲在派出所门口抽烟，烟头烫到手指才回过神。我问他，要是当时多看一眼网址末尾的“.cn”写成了“.cm”，还会输密码吗？老周把烟头摁灭，声音发哑：“那时候，我脑子里全是‘完了，我要坐牢了’。”

恐惧是最好的钓鱼饵。那些假网站，钓的从来不是你的警惕心，而是你心里最怕的那块地方。