那条“快递理赔”短信，差点把我钓上岸：钓鱼网站到底怎么下钩的？
晚上九点四十，手机在桌上震了一下。我瞄了一眼——“您的快递在运输中破损，点击链接申请理赔”。号码是陌生的，但开头三个字很熟悉：某快递公司。链接短得可疑，像一条被掐掉尾巴的蚯蚓。
我点开了。真的，我点了。页面加载出来，Logo、配色、按钮，和官方 App 几乎一个模子。它让我输手机号，再输验证码。我手指悬在键盘上，准备按下去……突然瞥了一眼地址栏。域名长得像一串乱码，中间还夹着“login-verify”。
我停了。后背有点凉。差一点，我就亲手把账号递给了别人。
这就是钓鱼网站。它不黑你的手机，不撬你的锁。它只是搭一个假门，站在门口冲你笑，等你把钥匙交出来。
它不偷手机，它偷你“亲手递过去”的密码
很多人以为钓鱼网站是很高深的东西。病毒？入侵？破译？说实话，没那么玄。大部分钓鱼网站干的事，就是仿冒一个你信任的页面，骗你自己输入账号、密码、验证码。
它可能长得像电商退款页，像邮箱登录页，像网盘扩容页，像游戏平台的中奖通知。页面上的每个像素都在说“我是官方的”。可那个网址，不是。
套路也不复杂：先给你一个理由。快递丢了、账号异常、积分要过期、邮箱快满了、你中了一台手机。理由通常带点急，带点怕，带点贪。你一急，就容易点。一点，就进了它的场子。
页面让你登录。你输账号。它记下。你输密码。它记下。有些还会让你输短信验证码。你输完，它转手就去真网站登录。前后可能不到十秒。
等你发现，账号已经开始发广告、加陌生好友、甚至改密码。你以为是手机中毒。其实不是。你是自己走进去的。
HTTPS 的小锁，不是免死金牌
这是最容易被误解的一点。
很多人看地址栏有个小锁，心里就踏实了。觉得“加密了，安全了”。可那个锁，只说明你和这个网站之间的传输是加密的。它不证明这个网站是好人。
钓鱼网站也能申请证书。也能有 HTTPS。也能有小锁。就像骗子也可以穿西装，也可以印名片，也可以租一间像样的办公室。衣服是真的，人是假的。
那看什么？看域名。
域名就是网址里“://”后面那一截，直到第一个斜杠之前。真正的官网域名通常短、干净、好记。钓鱼网站喜欢动手脚：把字母 o 换成数字 0，把 m 换成 rn，或者在官方域名后面加一长串后缀，比如“-login”“-verify”“-security”。
比如官网是“某某.com”，假站可能是“某某.com.verify-login.xyz”。粗看很像。细看，真正的域名其实是最后那截“xyz”。前面那一串，不过是它给自己挂的假招牌。
浏览器地址栏在手机上往往只显示前面一段。你看到“某某.com”，以为稳了。其实后面的尾巴被藏起来了。点一下地址栏，或者长按，把完整网址展开看。这个小动作，能救命。
为什么聪明人也会上钩？
别急着笑那些上当的人。你只是还没遇到为你量身定做的剧本。
钓鱼网站最厉害的地方，不是技术，是场景。它知道你刚买了东西，知道你怕账号丢，知道你不想错过退款，知道你对“官方通知”有本能信任。
它把你放进一个熟悉又紧急的剧情里。你一紧张，理性就退到后台。这不是智商问题。这是人的默认设置。
我有个朋友，做程序开发的，平时警惕性很高。有天收到一封邮件，说他的公司邮箱容量已满，点链接扩容。他点了。页面和他天天用的邮箱登录页一模一样。他输了密码。然后，他的邮箱开始往客户列表发奇怪链接。
事后他说：“我知道要看域名。但那天我在开会，手机屏幕小，页面又太像了。我就……顺手了。”
对，就是“顺手”。钓鱼网站钓的就是这个“顺手”。
它不需要你犯错。它只需要你省事。
几个土办法，比背口诀管用
最土的办法：别从短信、邮件、聊天窗口里点登录链接。尤其是那种让你输密码的。真要处理，自己打开官方 App，或者手动输入官网地址。多花十秒，少丢一个号。
密码管理器是个好东西。它不只是记密码。它还有一个隐藏技能：只在正确域名下自动填充。你打开一个假页面，它往往不填，或者提示域名不匹配。那一瞬间的空白，就是警报。
验证码呢？把它当内裤。谁要都不给。客服不要，快递员不要，任何平台的工作人员都不会主动要验证码。任何让你把短信验证码念出来、输进去、转发过去的人，都先当骗子处理。
双重验证也开一下。就算密码被钓走了，对方还缺一道码。虽然不能百分百防住，但能把大部分小贼挡在门外。
还有，给官网存书签。常去的购物、邮箱、网盘、游戏平台，全部存进浏览器收藏夹。以后从收藏夹进，不走野链接。土，但有效。
看到链接，先别点。长按，或者鼠标悬停，看看它到底要去哪。很多钓鱼链接会把自己伪装成短链接，像“t.cn/xxx”或者“bit.ly/xxx”。短链接本身不是坏东西，但你不知道它背后藏着谁。展开看，或者干脆不点。
万一已经输了密码，先别慌
慌是正常的。但别光慌。
第一时间，去真官网改密码。别从刚才那个页面点“修改密码”。自己开 App，或者手动输网址。改完，把其他用同一个密码的账号也改了。很多人一个密码走天下，钓一个，送一窝。
然后，把账号踢下线。大多数平台都有“退出所有设备”或者“登录设备管理”。找到它，把不认识的设备全踢了。
接着，开双重验证。如果已经有，检查一下验证方式有没有被改。有些钓鱼网站会顺手改掉你的绑定手机或备用邮箱。
再然后，检查邮箱的转发规则和自动回复。有些骗子登进去之后，会设置转发，把你收到的邮件悄悄抄送一份。你改密码的邮件，他也能看到。
最后，告诉朋友。发个朋友圈，或者群里说一声：“我账号可能被盗了，别点我发的链接。”不丢人。真的。丢人的是骗子，不是你。
钓鱼网站就像路边突然冒出来的二维码，或者小区门口穿着工服让你登记身份证的陌生人。多看两眼，多问一句，不丢人。怕的是你太忙，太急，太顺手。
下次手机再震，再跳出“快递理赔”“账号异常”“积分过期”……先停三秒。看看域名。那三秒，可能就是你和一堆麻烦之间的距离。