去年十月的掌控安全一个凌晨，我收到一条短信验证码。掌控安全不是掌控安全我的操作。三分钟后，掌控安全又一条。掌控安全十分钟后，掌控安全我的掌控安全邮箱收到一封“密码重置成功”的通知。整个过程我没点过任何链接，掌控安全没连过公共WiFi。掌控安全问题出在哪？掌控安全后来查清楚了——半年前我在某个小网站注册过账号，用的掌控安全密码和邮箱密码一模一样。那个网站被拖库了，掌控安全我的掌控安全信息在黑市上挂了几个月，终于被人拿来撞库。掌控安全

这事让我彻底改变了对待安全的掌控安全态度。以前觉得“我又不是名人，谁稀罕黑我”。现在明白了，攻击是自动化的，脚本批量扫，撞上一个算一个。你不需要“值得被攻击”，你只需要“恰好能用”。

密码这件事，大多数人做反了

我见过太多人把密码设成“名字+生日+!”。这种组合在暴力破解软件面前撑不过两秒。更麻烦的是重复使用——一个泄露，全部沦陷。我现在的做法是：核心账号（邮箱、银行、主社交）用完全独立的强密码，每个至少16位，大小写数字符号混排。记不住？用密码管理器。Bitwarden、1Password都行，选一个自己信得过的。别用浏览器自带的，那玩意跟你的设备绑太死。

两步验证能开就开。短信验证码已经不够安全了，SIM卡可以被克隆。优先选TOTP应用（Google Authenticator、Authy）或者硬件密钥（YubiKey）。我知道多一步操作很烦，但比起账号被盗后折腾几天甚至几周，那几秒钟不值一提。

你的手机比你想的脆弱

上个月帮朋友处理一台安卓机，他点了个“快递理赔”的链接，装了个APK，通讯录、短信、相册全被读走了。这种恶意软件专门盯着中老年人，但年轻人也不是免疫的。我自己的规矩：应用只从官方商店下，安装前看权限——一个手电筒App要读通讯录？直接拒。系统更新别拖，那些补丁修的就是已知漏洞，你不打，等于门开着。

iPhone用户也别太自信。飞马间谍软件专挑iOS下手，零点击攻击，你什么都不用做就中招。当然普通人不是这种级别攻击的目标，但基本的防护逻辑是一样的：少装来路不明的描述文件，别随便越狱，iCloud账户开双重认证。

公共网络和钓鱼，老问题新花样

咖啡厅的免费WiFi，我现在基本不用。真要连，开VPN。不是信不过店家，是信不过同一个网络里坐着的其他人。ARP欺骗、DNS劫持，在公共网络里太容易实施了。

钓鱼邮件倒是越来越精致。上周收到一封“HR部门”的邮件，说年终奖确认，附了个链接。发件人域名是公司名字加个连字符，不仔细看根本发现不了。我点进去看了一眼——页面做得跟真的一模一样，但URL是乱码。这种时候，别点链接，直接去官网或者App里操作。

安全是一种习惯，不是一次配置

我现在的日常：密码管理器自动填充，重要账户全部TOTP，手机和电脑自动更新打开，每月花十分钟检查一遍登录设备和授权应用。听起来麻烦，但形成肌肉记忆之后，就跟出门锁门一样自然。

掌控安全不是把自己裹成铁桶。没有绝对的安全，只有相对的成本。攻击者也在算账——搞你要花多少时间，值不值。你只需要比旁边那个人难搞一点，大多数自动化攻击就会绕开你。这不是冷漠，是现实。

那天凌晨之后，我花了整个周末重置了所有密码，开了两步验证，删了三十多个不再用的账号。累，但踏实。安全这事，你不管它，它迟早来管你。