为什么 VPN 拦不住一个做得像样的钓鱼页面

一个像模像样的登录页面通过加密隧道完美加载，锁形图标也一应俱全，却照样把密码偷走。这不是 VPN 失灵，而是 VPN 完全按设计在工作。隧道保护的是通往你所选服务器的那段路径，而不是那台服务器的身份。相信相反的说法，才是该被淘汰的迷思。

隧道究竟保护了什么

VPN 会加密你的设备与服务商出口之间的流量，并向目的地隐藏你的来源地址。它不会检查页面，不会核实页面背后的机构，也不会把这个站点与已知诈骗名单做比对。你输入的地址就是你抵达的地址，只不过被加密了。

对本地观察者而言这是真实的隐私收益，对欺骗而言这是真实的边界。攻击者享受的加密与你是同一套。咖啡馆里的观察者和职业骗子是两种不同的威胁，应对手段也不同，而一件工具很少能同时覆盖两者。

锁形图标证明的是连接，不是所有者

证书只能证明你抵达的域名掌握着该域名的密钥。攻击者可以为 example-login-secure.com 申请到有效证书，却不必证明它与被模仿的公司有任何关系。于是 HTTPS 只是在你把密码送往攻击者的路上做了加密，这并不是你想要的那种保护。请看地址，而不是标志。

遇到意外的账户警告时，请打开真正的应用，或从你已经信任的书签进入。不要点消息里的链接，也不要拨打其中的号码，因为那会让这条消息变成它自己的验证来源。

过滤器与密码管理器是线索

一些 VPN 产品加入了恶意网站过滤，浏览器、DNS 解析器和终端工具也可能拦截已知的坏地址。覆盖范围因产品、订阅和页面新旧而异，所以页面能打开并不等于安全。过滤名单同样落后于新注册的域名，而新发起的攻击恰恰用的就是这些域名。密码管理器在不匹配的域名上拒绝自动填充，是一个有用的信号。不妨把它当成停下来读一读地址的提醒。

正常的改版同样会打乱自动填充的匹配，所以这条线索并不等于结论。在假定隧道自带某种保护之前，先读清楚已安装的产品究竟启用了哪一项。营销页面列出了威胁防护功能，并不证明它在你设备上处于开启状态。

如果密码已经输入了

使用真正服务的找回流程，改掉已经泄露的密码，并在所有重复使用过它的地方一并更换。检查活动会话和附加的认证方式，因为被盗的密码可能已经被用过。

如果涉及账户或受管理的设备，请把事件报告给单位的安全团队。把原始消息留给该团队，但不要把仍然有效的链接转发给同事当作提醒。如果你打开过附件或运行过什么，也要遵循平台的设备安全指引，因为凭据被盗和恶意软件是两个不同的问题。

事后才打开 VPN，无法把密码从接收方那里收回来。隧道保护的是之后的流量；补救要处理的是已经出去的东西。