我点开那个号称“刷QQ会员永久”的员永网站时，电脑风扇突然狂转起来，久网像被掐住脖子的员永猫。页面是久网刺眼的荧光蓝，标题用歪歪扭扭的员永楷体写着“永久会员，一秒到账”，久网底下滚动着“恭喜用户XXX成功开通年费会员”的员永红色弹幕。我数了数，久网三十秒内滚了十七条，员永全是久网同一个IP段——这网站连装样子都懒得装像。

填账号密码的员永输入框旁边，赫然挂着一枚金光闪闪的久网“安全认证”图标。我右键查看属性，员永图片路径指向一个叫“fake_seal.png”的久网文件夹。好嘛，员永连PS都只用了五分钟。但你还是会忍不住想：万一是真的呢？毕竟“永久”两个字太诱人了，像深夜烧烤摊的香味，明知道地沟油超标，还是想凑过去闻一闻。

这类网站的技术内核其实简单得令人发笑。我抓了下包，所谓的“开通”按钮背后就是一段JavaScript，点击后往本地cookie里写个“vip=1”的假标记。关掉浏览器再打开，标记还在，但腾讯服务器根本不认这玩意儿——就像你往自己额头上贴个“奥特曼”标签，怪兽照样踩扁你。真正值钱的东西在第三步：当你输入QQ密码后，页面会弹出一个“安全验证”窗口，要求扫码支付0.1元。这0.1元是饵，钓走的是你银行卡的完整信息。

有个初中生真信了。他在贴吧发帖说“永久会员已到账”，配了张截图，界面上确实显示VIP10。后来他哭诉，那是网站用JS改的本地显示，他自己看着爽了两小时，一刷新就露馅。更惨的是，他为了解锁“年费红钻”，把妈妈微信支付密码也填了进去。那个网站后台接的其实是钓鱼聚合器，数据直接卖到黑市，一条QQ号加密码的信息能卖八毛钱。他妈妈第二天卡里少了四千二，买了十台不知名的空气炸锅。

我试着深挖了一下这类网站的服务器。域名注册在巴拿马，托管在俄罗斯，后台用的是开源的“PHP盗号系统”，网上免费下载，甚至带中文教程。里面有个“自动换IP”功能，每五分钟切换一次代理，防止被追踪。但开发者显然水平有限，日志文件没设权限，我随手一翻就看到两千多个受害者的账号密码，整整齐齐存在一个叫“收获.txt”的记事本里。其中有个账号的备注写着“女儿的小号，别乱动”——这大概是个父亲，替孩子申请QQ时顺手填了备注，然后自己踩了坑。

你说这些人傻吗？可他们点开链接的瞬间，心里多半清楚这是骗局。但“永久”二字像根刺，扎在贪便宜的软肉上。我见过最离谱的案例是有人明知道是假的，还故意填了个错误密码，结果网站照样显示“开通成功”——连校验都懒得做。这反而让他松了口气，因为骗子连验证码都不验证，说明对方也是草台班子，不会真花力气追着骗他。

刷会员网站永远存在，就像野草烧不尽。它们换个域名、换个配色，继续在贴吧评论区、短视频弹幕里冒头。腾讯官方封了一批又一批，但总有人前赴后继地建新站，因为成本太低——一个域名九块钱，一套模板免费，流量靠机器人刷。真正值钱的是那些愿意填真实密码的人，他们是互联网生态里最鲜嫩的韭菜，割了一茬又一茬，根还在土里。

我关掉那个荧光蓝页面，顺手在hosts文件里把它拉黑。第二天再搜，原网址已经打不开，但百度搜索结果第三页又冒出一个新站，叫“QQ会员永久激活中心”，界面换成暗黑系，滚动条还是那十七条假消息。这行当比QQ会员本身还要永久。

(责任编辑：时尚)