打开一个和银行官网长得一模一样的钓鱼页面，输入卡号、网站密码、何获短信验证码——整个过程不到两分钟。人信等你发现网址栏里写的钓鱼是“icbc-verify.com”而不是“icbc.com.cn”，钱已经转走了。网站这不是何获电影桥段，是人信我身边一个朋友上个月的真实经历。钓鱼网站骗走个人信息，钓鱼靠的网站从来不是多么高深的技术，而是何获精准拿捏人的习惯和情绪。

先说说最常见的人信套路：克隆。攻击者把目标网站的钓鱼前端代码整个扒下来，图片、网站CSS、何获甚至favicon.ico都照搬。域名上做手脚，比如把字母“l”换成数字“1”，或者加个后缀，像“taobao-login.cn”。你如果不盯着地址栏细看，根本分辨不出来。我试过用手机打开一个伪造的“12306”页面，连滑动验证码的交互都做得一模一样，唯一破绽是域名里多了个“-cm”。这种成本极低——网上有现成的钓鱼工具包，几十块钱就能买一套，部署到境外服务器上，半天就能上线。

域名只是第一步。真正让钓鱼网站拿到信息的，是表单提交的那一刻。你填完账号密码，点击“登录”，数据并没有发往真正的服务器，而是被POST到一个攻击者控制的接口。有些钓鱼站还会做“二次跳转”：先弹一个“密码错误，请重新输入”，让你以为是自己手误，再输一遍。两遍下来，攻击者手里的信息更完整。更有甚者，会在你提交后自动跳转到真官网，让你毫无察觉。这种“先钓鱼再放行”的手法，迷惑性极强。

短信和邮件是钓鱼网站最常用的引流渠道。你收到一条“ETC认证失效”的短信，点开链接，页面要求填车牌号、身份证、银行卡。或者一封“公司财务部”发来的邮件，附件是“工资补贴申领表”，点进去先让你用邮箱密码登录。这些场景的共同点是：制造紧迫感，让你来不及细想。我观察过几十个钓鱼案例，发现一个规律——越是让你“限时办理”的页面，越可能是假的。真机构不会用这种话术逼你。

二维码钓鱼这两年也多了起来。餐厅桌上贴个“扫码点餐”，扫出来却是一个仿冒的微信登录页。你以为是授权，其实是在把账号密码交出去。还有那种“共享充电宝”弹窗，要求输入手机号和验证码才能借出，结果验证码被用来注册黑产账号。二维码本身不判断内容，扫之前根本不知道会跳到哪里。我现在的习惯是：凡是扫码后要求输入密码的，一律关掉，手动打开官方App操作。

钓鱼网站还有一个隐蔽的获取方式：利用浏览器自动填充。你之前保存过某个网站的账号密码，钓鱼站把表单字段命名成一样的，浏览器就会自动帮你填上。你甚至没动手，信息已经提交了。Chrome和Safari现在会警告“此网站与保存的密码不匹配”，但很多人直接忽略提示，点“仍然继续”。这个细节说明，技术防护再到位，用户习惯不改，照样中招。

说个我自己的判断：钓鱼网站能得手，七成靠心理，三成靠技术。它模仿的是你信任的界面，利用的是你赶时间、怕麻烦、怕错过的心态。防御方法其实不复杂——别点短信里的链接，手动输网址；装个靠谱的密码管理器，它只会在正确域名下自动填充；收到“账户异常”通知，直接打开官方App查，别通过任何链接登录。这些动作花不了几秒钟，但能挡住绝大多数钓鱼攻击。信息泄露往往就在你点下“登录”的那一瞬间，慢一点，反而安全。