邮件里那个“财务部”的网络链接，点进去和公司OA登录页一模一样。钓鱼的常段输入账号密码，用手页面卡了两秒，网络跳回真正的钓鱼的常段OA首页。你以为只是用手网络延迟，其实那两秒里，网络你的钓鱼的常段凭证已经被打包发到了某个境外服务器。三天后，用手工资卡里多了一笔你不认识的网络转账。

这种事儿我见过太多次。钓鱼的常段网络钓鱼最狠的用手地方不在于技术多高明，而在于它精准地踩中了人的网络惯性反应。你每天登录几十次系统，钓鱼的常段看到登录框就条件反射地敲键盘，用手根本没空去检查地址栏里那个字母“l”是不是被换成了数字“1”。

先说最老土但也最管用的——伪造发件人。现在很多邮件客户端默认只显示发件人昵称，不显示完整地址。骗子把昵称改成“IT支持中心”，地址用个乱码字符串，你扫一眼觉得没问题就点了。有些更绝的，直接盗用你同事的真实邮箱——他中了招，病毒自动给他的通讯录群发钓鱼链接。你收到“老王”发来的“这份报表你看看”，百分之百不会怀疑。

链接本身的花样也多。你以为把鼠标悬停在链接上看到真实地址就安全了？太天真。HTML里可以写一段JavaScript，鼠标悬停时显示的是真地址，点击时跳转到另一个地方。还有用短链接的，bit.ly后面跟一串字符，你根本不知道它指向哪儿。更隐蔽的是用相似域名：把“zhihu.com”写成“zhihu.com”看着一样？仔细看，那是西里尔字母“н”不是拉丁字母“h”。肉眼几乎分辨不出来。

附件钓鱼这两年又火起来了。因为大家被训练得不敢乱点链接，但对附件反而放松了警惕。一个“.docx”文件，打开后提示“此文档包含宏，需要启用内容才能正常显示”。你点了启用，宏病毒就开始在后台下载payload。还有伪装成PDF的，图标看着就是PDF，双击后弹出“文件已损坏”，然后自动跳转到钓鱼网页让你“重新下载”。

短信钓鱼更直接。你收到一条“您的ETC卡已过期，请点击链接续费”，或者“您的快递因地址不详被退回，点击确认新地址”。这些短信的发送号码往往伪装成官方号段，比如“95”开头的。点进去就是个移动端页面，让你填银行卡号、身份证、手机号、验证码。填完验证码，钱就没了。验证码这东西，你给出去的那一刻，它就不再是保护你的屏障，而是骗子手里的钥匙。

还有一种不太被提及但杀伤力极大的：语音钓鱼。你接到一个电话，对方自称是银行风控部门，说你的卡刚刚在境外有一笔异常消费，需要你配合验证。然后他会报出你的姓名、身份证号后四位、最近一笔消费金额——这些信息可能来自之前某个泄露的数据库。你信了，他让你按手机上的提示操作，实际上是让你在网银里发起一笔转账，他那边同步获取了动态口令。

最让人后背发凉的是鱼叉式钓鱼。不广撒网，只针对你一个人。骗子可能花几周时间研究你的社交媒体：你刚换了工作，你在领英上更新了职位，你发了一张新工牌的照片。然后他冒充新公司的HR给你发邮件，说“入职材料需要补充，请点击链接上传”。你正在适应新环境，手忙脚乱，根本不会多想。这种攻击的成功率极高，因为它在正确的时间以正确的方式出现。

说到底，钓鱼利用的不是系统漏洞，是人的漏洞。你累了、赶时间、刚被老板骂了一顿、或者单纯就是今天心情好放松了警惕——这些都是骗子的机会窗口。技术手段可以拦截一部分，但最终那道防线还是你自己的手指。点之前停半秒，看看地址栏，打个电话确认一下。这半秒，有时候值几十万。