网络钓鱼（Phishing）

网络钓鱼（Phishing）是一种通过伪装成可信机构（如银行、电商、社交平台），诱骗用户交出账号密码、银行卡号等敏感信息的网络诈骗手段。

概述

「Phishing」一词由英文「fishing（钓鱼）」变形而来，形象地描述了攻击者「撒饵钓鱼」的过程：先仿造一个与真实网站几乎一模一样的假页面，再通过电子邮件、短信或即时通讯工具把假网址发给受害者，谎称「账号异常」「订单退款」「中奖领取」等，诱导对方点击链接并在假页面上输入个人信息。受害者一旦提交，账号密码、信用卡信息就直接落入骗子手中。

钓鱼攻击最常冒充的对象是用户量大、涉及资金或账号价值高的服务，例如网上银行、支付平台、电商网站、社交网络、邮箱服务商，甚至政府部门和公司内部 IT 系统。由于假网站可以在外观、域名上高度仿冒真站，甚至也能挂上 HTTPS 证书显示「小锁」图标，普通用户仅凭肉眼往往难以分辨真伪。

常见形式

• 钓鱼邮件：冒充银行、平台官方发送「安全提醒」「账单通知」，附带假登录链接或恶意附件。
• 钓鱼短信（Smishing）：以「ETC 失效」「快递异常」「积分兑换」等名义诱导点击短链接。
• 鱼叉式钓鱼（Spear Phishing）：针对特定个人或企业定制话术，常冒充同事、老板或合作方，欺骗性更强。
• 假冒网站与假 Wi-Fi：仿冒登录页、搭建恶意热点，截取用户输入的账号信息。
• 语音钓鱼（Vishing）：通过电话冒充客服、公检法人员实施诈骗。

如何防范

• 不点击来历不明的链接，登录重要网站时手动输入官方域名或使用收藏夹。
• 仔细核对域名拼写，警惕用相似字符仿冒的假域名。
• 为重要账号开启两步验证（2FA），即使密码泄露也能多一道防线。
• 银行、官方客服不会索要密码和完整验证码，凡是索要即为诈骗。
• 使用浏览器和安全软件的反钓鱼功能，及时更新系统。

常见问题

问：网址显示 HTTPS 小锁就一定安全吗？答:不一定。HTTPS 只说明传输过程加密，钓鱼网站同样可以申请证书。判断真伪的关键是核对域名本身是否为官方域名。

问：不小心在钓鱼网站输入了密码怎么办？答:应立即在官方渠道修改该密码及其他使用相同密码的账号，涉及银行卡的要联系银行冻结或挂失，并保留证据向平台和警方举报。

问：网络钓鱼和木马病毒有什么区别？答:钓鱼主要靠「骗」，利用假冒页面诱导用户主动交出信息；木马则是靠恶意程序潜入设备窃取数据。两者常被结合使用，但原理不同。