一、钓鱼网站的"三件套"

这三样通常一起出现。单独看任何一项都可能有例外，但三项凑齐，基本可以判定是钓鱼。

二、四招识破

1. 认域名。只从官方 App 或自己收藏的官方网址进入，不在短信、邮件、聊天窗口里的链接上登录。域名要看主域部分，前缀加多少都不算数。
2. 不轻信"紧急"话术。"账户被盗""限时核验""中奖待领"——凡是制造时间压力的，多半是诱导。真有事，银行不会只靠一条短信通知。
3. 看地址栏。确认是官方域名、有安全锁标志。手动输入网址比点链接稳，因为链接可能被指向别处。
4. 不泄露验证码和密码。银行绝不会索要短信验证码，也不会要你的登录密码和完整卡号。谁要，谁可疑。

任何让你"点击链接登录网银"的短信，先当诈骗看。真有疑问，用官方 App 查，或拨打银行卡背面的官方客服号（95 开头）核实——注意是自己拨出去，不是回拨对方给的号码。

三、更稳妥的做法：把入口固定下来

防钓鱼最有效的一招不是"识别假网站"，而是"不给假网站机会"。把入口固定成两三个：手机里的官方 App、浏览器收藏夹里的官方网址、银行网点或对账单上的官方电话。除此之外的入口，一律不用。

装 App 也要走对地方：只从手机自带应用商店或银行官网下载，别扫来路不明的二维码，别装别人传给你的安装包。仿冒 App 的图标和名字能做到几乎一样，区别往往只在开发者信息。

四、手机端最容易踩的三个坑

• 短信里的短链接。点开是银行样式的登录页，实际是收集卡号密码的表单。
• "客服"加你微信/QQ。正规银行不会通过个人社交账号办理业务、索要证件照。
• "安全账户"转账。任何要求你把钱转到"安全账户""监管账户"的，都是诈骗，没有例外。

五、万一中招：四步止损

1. 先断。立即修改网银和手机银行密码，必要时挂失卡片，联系银行冻结账户。
2. 再留证。保留短信原文、链接地址、聊天记录和页面截图，别急着删除。
3. 然后报警。第一时间拨打报警电话，并向银行客服说明情况，越早止付成功率越高。
4. 最后排查。检查手机是否装了可疑应用、是否被引导安装了"屏幕共享"类软件——这类工具会让对方看到你的验证码。

六、日常三个习惯，比记技巧管用

• 不在公共 Wi-Fi 下做大额转账。公共网络环境不可控，涉及资金的操作换用移动数据。
• 开启账户变动提醒。每一笔进出都有通知，异常能第一时间发现。
• 定期看账单。小额试探性扣款往往是盗刷的前奏，早发现早处理。

说到底，钓鱼攻击利用的不是技术漏洞，而是人的慌乱。把"不在链接里登录"变成条件反射，绝大多数套路就近不了身。