页面跟官方一模一样，为什么号还是被登走了？一次讲清：哪种登录最抗钓鱼

一、先看一个真实场景

你收到一条消息："账号异常，请重新登录。"

你点进去。页面的图标、颜色、字体，跟官方一模一样。

你填了密码。你还多看了一眼——开了验证码。你心里踏实了。

第二天，号还是被人登走了。对方顶着你的名字，找你的朋友借钱。

问题出在哪？

不在你的密码太弱。也不在验证码没用。在那个页面，是假的。

二、钓鱼不是"猜密码"，是"假页面 + 实时转手"

骗子在真网站前面，摆了一个假页面。

你以为你在跟网站说话。其实中间隔了一个人。

你递出去的东西，他转手，就交给了真的网站。

所以真正的判据不是"密码复不复杂"，而是：

你用的那样东西，能不能被"递出去"？

三、把五种登录方式摆一排

方式	靠什么证明	能不能被递出去	抗钓鱼	主要软肋
密码	你背下来的东西	能（当页面敲一遍就被抄走）	❌	复用、泄露
短信验证码	临时发到手机的码	能（骗子在中间催你念）	❌	SIM 劫持、实时转发
魔法链接	点在邮箱里的链接	能（谁捡到谁进）	❌	链接被劫
二维码	用已登录的手机核对一串数字	能（数字可被换）	⚠️	扫错码、换码
Passkey	设备里的一把钥匙	不能（钥匙不出设备，且只认注册过的网站）	✅	丢设备、跨设备同步

一句话：能被念、能被填、能被点开的，都能被递出去。

四、这段历史，值得知道

时间	事件
1990 年代	"钓鱼"出现：假邮件 + 假页面骗密码
2019	W3C 发布 WebAuthn 标准（抗钓鱼的底层）
2022	Apple / Google / 微软联合推 Passkey
2022	微软披露一波"中间人"钓鱼：连登录状态一起转走

方向很清楚：把钥匙从网络里拿出来，锁进设备。

五、判据只有一条

假页面站在你和真网站中间
   你（能被递出的东西）→ 假页面 → 真网站     ← 中间那只手，抄走了
   你（Passkey）→ ✗ 假页面认不出 → 递不出去   ← 钥匙不出设备

Passkey 为什么抗钓鱼？两点：

1. 钥匙长在设备里，从不离开设备。
2. 它只认自己注册过的那个网站。门牌不对，它不出手。

假页面它不认。你就算想递，也递不出去。

六、数据与标准怎么说

• NIST SP 800-63B-4（2025）：明确密码、查表秘密、带外（短信/二维码）都不是抗钓鱼认证器；高保证等级要求抗钓鱼。
• 微软（2022）：一波"中间人"钓鱼把密码 + 登录状态一起转走，开了验证码也照样被进；据披露，不到一年试过一万多家机构。

两条合起来说明：不是所有"多一步"都一样强。

七、那到底怎么选

你是谁	建议
普通用户	先开 Passkey；开不了，至少别多个网站复用同一个密码
企业日常	优先 Passkey（抗钓鱼）；再留一种够用的后路
高敏岗位 / 管理员	必须抗钓鱼：Passkey / 硬件密钥

八、四个常见误解

误解	事实
"开了验证码就防住钓鱼了"	不一定。它能被实时转走。
"页面长得像就是真的"	假页面能 1:1 复刻。真假看地址，不看长相。
"点一下就登录，又方便又安全"	更能被递出去的，往往也更省事。
"Passkey 万无一失"	它怕丢设备、怕换机不同步、怕老网站不支持。

九、一句话带走

抗不抗钓鱼，只看一样：你用的那样东西，能不能被"递出去"。能被递出去的，就更怕假页面。

（若账号已被登走过：先把登录状态全部踢下线，重新登一遍，再换上一把"递不出去"的。）

以上实践来自我们构建身份层 Autional 的经验：几条登录路都留着，但把"递不出去"的 Passkey 摆在前面；扫码登录要核对一串数字；魔法链接、验证码也留，但约束成一次性、限时、只认一次。官网：https://www.autional.com

出处（外部资料）

• NIST，SP 800-63B-4《Digital Identity Guidelines》（2025）（抗钓鱼要求）。
• W3C，WebAuthn Level 2（2021）；FIDO Alliance，FIDO2 / CTAP2。
• Microsoft Security Blog（2022-07-12），中间人（AiTM）钓鱼：转走密码与登录状态、绕过 MFA。
• Zscaler ThreatLabz（2022-08-02），同类 AiTM 代理钓鱼的独立观测。