Phishing：是什么，为什么您需要了解它
每天，数十亿封伪造的电子邮件、短信和虚假网站被发送出去，目的只有一个：诱骗您交出个人信息。这种手段被称为 phishing（网络钓鱼），至今仍是最有效、最普遍的网络攻击方式之一——不是因为它在技术上有多复杂，而是因为它针对的是人类心理，而非计算机系统。
什么是 Phishing？
Phishing 是一种社会工程学攻击，攻击者伪装成您信任的人或机构——您的银行、流媒体服务、雇主，甚至政府机构——以操纵您做出原本不会做的行为。这些行为可能包括点击恶意链接、下载受感染的附件，或在伪造的登录页面上输入您的密码。
这个名字是对"fishing（钓鱼）"的刻意模仿。攻击者撒下诱饵，等待上钩者。
Phishing 是如何运作的？
大多数 phishing 攻击遵循可预见的模式：
- 诱饵： 您收到一条看似合法的消息。它可能模仿 Netflix 账单提醒、PayPal 安全警告，或来自公司 IT 部门的紧急邮件。
- 钩子： 消息制造紧迫感——您的账户即将被暂停、出现了可疑活动，或您需要立即验证身份。
- 陷阱： 您被引导至一个与真实网站外观完全相同的伪造网站。当您输入凭据时，这些信息会直接发送给攻击者。
此外，还存在更具针对性的变体。鱼叉式 phishing（Spear phishing） 是针对特定个人的定向攻击，通常利用从社交媒体收集的信息。鲸鱼攻击（Whaling） 专门针对高级管理人员。短信钓鱼（Smishing） 通过 SMS 短信实施，而语音钓鱼（Vishing） 则发生在语音通话中。
现代 phishing 网站通常使用 HTTPS 并显示锁形图标，许多人误以为这意味着网站是安全的。它只表示连接已加密，而非网站本身可信。
为什么这对 VPN 用户来说很重要
一个常见的误解是：使用 VPN 可以保护您免受 phishing 攻击。事实并非如此——至少不是直接的。VPN 可以加密您的网络流量并隐藏您的 IP 地址，但无法阻止您主动在伪造网站上输入凭据。
尽管如此，VPN 用户并非完全没有防护手段：
- 部分 VPN 包含威胁防护功能，可在浏览器加载之前拦截已知的 phishing 域名。
- VPN 可以防止 DNS 劫持，这是一种攻击者用于在您输入正确地址时仍将您悄悄重定向至伪造网站的技术手段。
- 在公共 Wi-Fi 上使用 VPN，可防止中间人攻击——这种攻击有时与 phishing 结合使用，用于拦截凭据。
然而，仅依赖 VPN 进行 phishing 防护会给您带来虚假的安全感。您仍然需要保持良好的数字安全习惯。
真实案例
- 您收到一封来自"Apple 支持"的电子邮件，称您的账户已被锁定。链接将您带到 apple-support-login.com——一个以假乱真、专门窃取您 Apple ID 的伪造网站。
- 一条短信声称您的银行检测到欺诈行为，并要求您拨打一个 800 号码。电话接通后，对方是一名冒充欺诈专家的骗子。
- 一封看似来自人力资源部门的公司内部邮件，要求员工登录新的福利门户——实际上是一个凭据收集页面。
如何保护自己
- 始终核查发件人的实际电子邮件地址，而非仅看显示名称
- 在点击链接前，将鼠标悬停在链接上以查看真实的目标 URL
- 为所有重要账户启用双重身份验证——即使密码被盗，没有第二重验证也无法登录
- 使用密码管理器，它不会在伪造网站上自动填写凭据
- 如有疑问，直接访问官方网站，而非点击任何链接
Phishing 之所以奏效，是因为它简单且易于大规模实施。了解其运作方式，是您的第一道防线。