先找现成的钓鱼网站模板，网上有很多免费的或者低价购买的。然后修改网址，把原网站域名换成自己编的，比如把www.改成www.。再做个诱导点击的链接，写着“点击查看中奖信息”或者“账号异常需验证”。用户点进去看到和原网站一模一样的登录框，就输密码了，这时候密码就被偷走。把偷到的密码打包发到黑产群里卖钱。

为什么这么干？因为现在很多人随便点链接，根本不检查网址。根据前年IBM安全报告，全球75%的网络安全事件和钓鱼攻击有关，中国某反诈中心数据显示，每月有超过200万用户因钓鱼网站泄露密码。主要就是利用两点：一是用户习惯性信任熟域名，二是诱导话术让人手痒点击。比如把原域名改成原域名加数字，用户觉得“就差个数字应该没问题”，这就是心理学上的锚定效应。而且现在很多网站用https加密，用户看到绿色锁就放松警惕，其实加密只能防中间人，不能防钓鱼。所以关键就是伪装得越像原网站，用户越容易上当。黑产卖密码能赚几十块一条，但被警方抓到可能判三年以上。