凌晨两点十七分，诈骗我盯着手机屏幕上那条“尊敬的短信钓鱼用户，您的网站ETC已过期”的短信，差点就点了链接。诈骗不是短信钓鱼因为我信了，而是网站那条短信的排版、语气、诈骗甚至标点符号，短信钓鱼都和我上个月收到的网站ETC官方提醒一模一样。唯一不同的诈骗是，链接域名换成了“etc-vip.cn”这种鬼东西。短信钓鱼

钓鱼网站的网站门槛低得吓人。我认识一个做网站的诈骗朋友，他说花三百块钱，短信钓鱼从网上买一套仿冒建行首页的网站模板，再租个境外服务器，前后不到俩小时，一个“以假乱真”的钓鱼站就能上线。短信群发成本更低，一万条才几十块。也就是说，骗子用一顿火锅的钱，就能撒网钓几千个人。

106开头的号码，本来该是银行、运营商、政务平台的正规通道。现在却成了诈骗的重灾区。今年三月，我亲眼在反诈APP的举报页面里，看到一条“工行95588”发来的积分兑换短信，点进链接后，页面上的LOGO、字体、甚至安全证书标识都齐全，活脱脱一个官方站。可地址栏里那个“icbc-verify.net”出卖了一切。

最讽刺的是，这些钓鱼网站的技术水平参差不齐。有的粗糙到图片都变形了，有的却精细到能实时抓取你输入的账号密码，然后立刻在后台登录真的银行系统。我测试过一个，输入假信息后，页面居然跳转到“系统维护中”，而我的假账号密码已经被截胡了。这哪是诈骗，分明是工业流水线。

可为什么还有人上当？我奶奶上个月就差点中招。她收到“社保补贴领取”的短信，点进去填了身份证号，最后一步要填银行卡密码时，她犹豫了。不是因为警惕，而是她记不住密码。事后我翻她手机，那个钓鱼页面做得极其粗糙，背景色都偏了，可她还是信了。她说：“106开头的，能是假的？”

这就是问题所在。运营商对106号码的监管形同虚设，个人可以轻易租用这些通道发短信。而钓鱼网站本身，就算被举报封了，换个域名又能重来。我见过同一个钓鱼模板，今天叫“etc速通”，明天叫“高速ETC”，后天叫“ETC认证”，版本迭代比正经产品还勤快。

技术层面防不住，那就只能靠人肉防线。现在很多手机自带识别，但骗子会伪装成“闪信”绕过拦截。更可怕的是，有些钓鱼网站会诱导你下载“安全控件”，那个控件本身就是木马。我朋友的公司做过测试，一个仿冒某银行的钓鱼页面，从用户输入到后台收到数据，不到0.3秒——比你眨眼睛还快。

说到底，106短信和钓鱼网站的组合，本质上是利用信任惯性。你看到熟悉的号码，看到熟悉的页面，大脑就会自动降低防御。我自己的习惯是，凡是短信里带链接的，一律不点。真要办业务，自己打开官方APP，或者直接拨客服电话。麻烦是麻烦，但总比一夜之间卡里清零强。

最近听说工信部在严打106通道违规租用，但钓鱼网站这东西，根子在于人。只要还有人相信“天上掉馅饼”，骗子就会不断换马甲。你永远叫不醒一个装睡的人，但至少可以让自己别闭眼。