上个月我表妹收到一条短信，苹果说她的钓鱼Apple ID在异地登录，需要立即验证。网站她点开链接，苹果页面跟苹果官网几乎一模一样，钓鱼连字体和图标都没差。网站她输入了账号密码，苹果紧接着弹出“验证失败，钓鱼请重试”——她连试了三次。网站第二天，苹果她的钓鱼iPhone被远程锁定，绑定的网站银行卡被刷走两千多。

这不是苹果个例。苹果ID钓鱼网站现在做得太真了。钓鱼真到什么程度？网站你把网址复制出来仔细看，可能只是把“apple.com”换成了“app1e.com”——数字1代替字母l，或者“apple-icloud.com”这种带连字符的变体。手机屏幕上不放大根本看不出来。

这些钓鱼网站通常通过短信、邮件甚至日历邀请发过来。日历邀请最阴——你收到一个陌生事件提醒，点进去就是钓鱼页面。短信则冒充“Apple支持”，说你的账户被冻结、支付方式失效、或者有可疑登录。邮件更直接，标题写着“您的Apple ID已被锁定”，正文里一个蓝色按钮“立即解锁”。

我拆解过一个钓鱼页面。它用JavaScript实时校验你输入的密码格式——必须包含大写字母和数字，跟苹果的规则一致。输错了它还会提示“密码格式不正确”，让你以为这是真的苹果系统。等你输完，它把数据打包发到某个境外服务器，然后跳转到真正的apple.com，你看到官网页面，以为刚刚只是网络卡顿。

更狠的是双重钓鱼。先骗你Apple ID密码，再弹出一个“需要验证信用卡信息”的页面，让你填卡号、有效期、CVV码。有人甚至被引导下载一个“安全插件”，实际是木马，能截取短信验证码。

怎么分辨？别信短信里的链接，这是铁律。真正的苹果不会发链接让你点进去登录。要看网址，别只看开头，看域名主体——apple.com前面有没有别的词，后面有没有奇怪的后缀。还有个笨办法：直接在浏览器手动输入apple.com，登录后看“设备”列表里有没有陌生设备。

我自己的习惯是开启双重认证，但钓鱼网站也能骗过这个。它会先让你输密码，然后弹出一个“请输入发送到您设备的验证码”页面。你手机上确实收到验证码——因为钓鱼网站同时在对真苹果服务器发起登录请求。你把验证码填进钓鱼页面，它立刻转发给真服务器，登录成功。整个过程你收到的验证码是真的，页面是假的。

苹果去年上线了“iCloud高级数据保护”，但普通用户没几个开。我建议至少做三件事：一，Apple ID用一个专门的高强度密码，别跟其他网站共用；二，开启双重认证，但记住——任何页面让你同时输密码和验证码，关掉；三，绑定的支付方式别放主要储蓄卡，用一张限额的信用卡或者虚拟卡。

表妹后来打了苹果客服，账户找回来了，钱没追回。她说当时页面太真了，根本没想过是假的。这句话我听过太多次。钓鱼网站的技术门槛在降低，一个模板几百块就能买到，但普通人的警惕性没跟上。你觉得自己不会上当，直到那个页面出现在你手机上，而你又刚好收到一条“账户异常”的提醒。

别点链接。别在非apple.com的页面输Apple ID。就这两条，能挡住九成以上的钓鱼。