钓鱼网站骗取信用卡信息

凌晨两点，钓鱼手机屏幕亮了。网站一条短信：“您的信用息信用卡尾号8842在境外消费3280美元，如非本人操作请点击链接验证。卡信”老张眯着眼点进去，钓鱼页面跳转到一个和银行官网几乎一模一样的网站界面，他输入了卡号、信用息有效期、卡信CVV码，钓鱼还有手机收到的网站验证码。三分钟后，信用息真正的卡信银行短信来了——这次是真的消费提醒，五笔交易，钓鱼合计一万七千美元。网站那个假页面已经打不开了。信用息

这类钓鱼网站，技术含量低得可笑，但杀伤力大得惊人。我见过最简陋的一个，域名是“icbc-verify.xyz”，页面直接复制了工商银行的登录页，连logo都没换，只是把“登录”按钮改成了“立即验证”。服务器架在东南亚某个小机房，成本不到五十块钱。可就是这种东西，每天能骗到几十个人的信用卡信息。

为什么？因为钓鱼网站玩的不是技术，是心理。它们精准卡在三个时间点上：你刚刷完卡等确认短信的时候、你半夜收到异常交易提醒的时候、你急着处理某笔订单的时候。人在这些时刻，防备心最低，手指比脑子快。老张后来跟我说，他平时也看过防骗文章，但那天半夜脑子是蒙的，只想着“赶紧验证一下别被盗刷”，结果正中圈套。

钓鱼网站的页面设计有个共同特征：它不会让你停留太久。输入框通常只有三到四个，卡号、密码、有效期、CVV，有的连手机号都不要。你填完点提交，页面会转两秒，然后显示“验证成功，请等待银行处理”。这两秒就是数据回传的时间。等你看到真正的银行短信，钱已经在境外被刷走了，买的是礼品卡或者加密货币，追都追不回来。

有个做安全的朋友告诉我，他们监测过一批钓鱼域名，发现一个规律：这些网站存活时间平均只有四到六个小时。用完就扔，域名不要了，服务器换掉，下一个继续。你举报都来不及。而且它们会主动避开安全厂商的爬虫，检测到访问来源是虚拟机或者已知IP段，直接返回一个空白页。普通人用手机浏览器打开，反而正常显示。

更麻烦的是，现在钓鱼网站开始用HTTPS证书了。地址栏那个小锁图标，以前是安全的象征，现在花几块钱就能买到。很多人一看有锁，就觉得没问题。实际上那只能证明连接是加密的，不能证明网站是合法的。加密的骗子，还是骗子。

我自己的习惯是，任何短信里的链接，一律不点。要查信用卡状态，打开银行官方App，或者手动输入银行域名。验证码这东西，除了自己主动发起的操作，谁要都不给。银行不会打电话问你要验证码，也不会发短信让你点链接输入。这是铁律。

老张那笔钱最后追回来一部分，因为其中两笔交易触发了银行的风控，被拦截了。但另外三笔，至今没下文。他现在把那张卡的额度降到了两千美元，网上支付功能直接关了。他说，宁可麻烦点，也不想再半夜被短信吓醒。

钓鱼网站不会消失，因为总有人会在凌晨两点，迷迷糊糊地点开那条短信。技术防不住所有漏洞，但至少可以记住一件事：银行永远不会发链接让你填卡号。那个页面再像真的，也是假的。

本文地址：http://www.79wt.cn/news/802d9599102.html