⑴近年来，随着网络的发展，网络上信息被盗的事件时有发生，比如钓鱼攻击，他们通过电子邮件让用户填写个人信息，以套取用户隐私，奇怪的是，这种钓鱼攻击屡屡成功，到底为什么钓鱼攻击的成功率那么高呢？
⑵当我第一次收到银行发来的“安全”邮件时，我第一反应就是这里是否有诈？因为在我看来，它实在是太像钓鱼邮件了。这封躺在收件箱里的邮件来源于我银行经理的个人邮箱地址，而非Chase银行的官方邮箱。邮件中不仅附带有一个HTML页面，而且还有文字告诉我“在中打开这个页面以了解如何进行下一步操作”，这一切瞬间让我提高了警惕。
⑶首先，本身电子邮件这个东西就是不安全的，更何况是我的银行还发送了一封带有附件的“安全”邮件给我。这看起来就像是一次教科书般的钓鱼攻击，所以我赶紧拿起电话直接打给了我的银行经理。
⑷“不是的，这是合法邮件。我需要你将它打印出来，然后签署一些文件。”这就是银行经理给我的回答。
⑸但我说到：“首先，邮件发送人的地址看起来就非常可疑，而且这种邮件不仅要让我点击外部链接并打开附件，而且还要我在Web表单中填写我的个人信息，这谁会信啊？”
⑹银行经理说到：“我完全理解，这确实会让人怀疑。但这封邮件没有任何问题，我的确发过这封邮件给你，如果需要的话我还可以再发一次。”
⑺于是乎，他果然又发了一封给我。这封重发的邮件看起来与之前那封完全一样，但这一次我正在与我的银行经理通话，所以我按照要求打开了附件。邮件中有一个“点击读取信息”的按钮，点击之后将我重定向到了Chase银行的安全邮件门户网站。但是整个过程让我感到非常的奇葩，我也将我担心的地方告诉了我的银行经理、他的上司、以及Chase的客户支持部门。
⑻值得一提的是，我们是不可能完完全全地对客户的行为进行安全培训的，而银行所采用的交互方式与钓鱼攻击几乎没有区别，这就非常危险了。
⑼近期，我收到了一封真正的钓鱼邮件。这封邮件来自，它很明显是封伪造的邮件，但如果不仔细的话还是看不出什么端倪的。这封邮件声称我的银行账号近期出现了很多错误操作，并且跟之前那封真实的邮件一样，它也让我在浏览器中打开附件HTML文件并按提示进行操作。
⑽但很明显我不会按它说的做！于是，我把HTML文件下载了下来，然后把它拖到了代码审查窗口中。我发现，除了正常的HTML代码之外，文件中还包含一段脚本代码：
⑾window.location="data:text/html;base，PCFETNUWVBFIEhUTUwg...
⑿这个页面会在地址栏中显示一大堆Base编码的数据，代码本身包含有Chase银行官网的脚本、图片以及指向合法页面的链接，整个页面看起来和正常的Chase银行登录页面没什么区别。但是，代码中还包含有其他的脚本代码（经过混淆，这些代码会在登录页面中添加一个自定义的表单：
⒀document.write(unescape(%C%%F%...
⒁在对代码进行了反混淆之后，我发现所有的代码都与Chase银行的真实登录页面一致，只不过表单action属性指向的是攻击者所控制的服务器。
⒂