内容摘要：打开浏览器收藏夹，我数了数，光“XX银行”的快捷方式就有七个。每一个都长得差不多，蓝底白字，盾牌图标，网址前缀全是https。可要是点错了，钱就不是进你的账户，是进别人的口袋了。 钓鱼网站这行当，比正

打开浏览器收藏夹，中国我数了数，钓鱼导航光“XX银行”的网站快捷方式就有七个。每一个都长得差不多，中国蓝底白字，钓鱼导航盾牌图标，网站网址前缀全是中国https。可要是钓鱼导航点错了，钱就不是网站进你的账户，是中国进别人的口袋了。

钓鱼网站这行当，钓鱼导航比正经做网站的网站人勤快多了。去年双十一前夜，中国我收到条短信，钓鱼导航说淘宝联盟搞抽奖，网站链接后缀是“taobao-11-11.top”。点进去，页面做得那叫一个精细——导航栏、倒计时、轮播图，连客服头像都在右下角跳。我差点输了支付密码，最后一眼瞥见地址栏里那个“.top”，才猛地清醒过来。正经淘宝哪会用这种域名？

最坑的是，这些假站还搞“导航”服务。你搜“中国银行官网”，排前头的几个广告位，全是钓手租的。点进去，页面布局跟真的分毫不差，连“安全中心”的弹窗都有。唯一露馅的地方在页面最底下的备案号——人家真站是京ICP备xxxx号，假的要么没有，要么乱编一串数字。可谁没事拉到底部看那个？

后来我学乖了，直接往地址栏敲网址。可这招现在也不灵了。有回我手动输入“icbc.com.cn”，回车后页面正常跳转，可中间那几毫秒，我瞥见浏览器左下角闪过一个陌生IP。后来才懂，有些DNS被劫持了，你输对的域名，它照样给你引到假的服务器上。这种“中间人攻击”，连老网民都防不住。

钓鱼站也有“产业链”。上游有人卖仿冒页面源码，一套银行模板开价三百，带后台管理，能实时改收款账号。中游有人租服务器，专挑海外小机房，域名用免费顶级后缀，被查封了就换一个，成本不到五十块。下游更绝，搞“导航站”聚合，把几十个假银行、假电商、假支付平台的链接收在一块，美其名曰“安全上网入口”。

我认识个做安全测试的朋友，他给我演示过一回。那假导航站做得跟hao123似的，分类齐全，连“彩票”“棋牌”都有。他点了个“工商银行”，跳出来的页面居然带动态验证码，还能实时校验。他乐了：“这帮人连OCR都接上了，你输错一次验证码，它再刷一张，跟真的一模一样。”

最气人的是，有些钓鱼站专门坑老年人。我爸上个月收到条“社保局”短信，说补贴没领，让点链接填身份证。那页面底部还真有个“全国社保基金理事会”的logo，我拿放大镜看，logo右下角多了个像素级的白点——假的。可我爸哪看得见那个？他输完卡号，对方还打电话来“指导操作”，一口一个“大爷”，声音甜得发腻。

防钓鱼这事儿，光靠“别乱点链接”没用。我现在的习惯是：网上银行只从银行APP进，电脑上装个反钓鱼插件，看到陌生域名先查whois。可说实话，这些招数都是被动挨打。真正管用的，是你心里绷着根弦——凡是让你输密码的页面，先用手戳一下地址栏，看看域名到底是不是那个“官方”的。哪怕只多花一秒，也值。

写这文章的时候，我又收到条短信：“您的ETC已过期，请点击链接续签。”我笑了笑，删了。可我知道，明天还会有人中招。这行当跟野草似的，割了一茬又长一茬。你问怎么根除？我不知道。我只知道，自己别当那茬韭菜就行。