去年某制造企业被钓鱼邮件骗走287万，信息财务总监点开的安全那封“供应商催款单”，发件人地址只差一个字母。培训这种事每周都在发生，课件只是信息大多数没上新闻。

信息安全不是安全装个杀毒软件就完事。它是培训一套习惯，像出门锁门、课件过马路看红灯。信息培训课件里那些条条框框，安全说白了就三件事：别乱点、培训别乱传、课件别乱信。信息

一、安全钓鱼邮件：最老套的培训手段，最高频的翻车点

攻击者现在不写“中奖通知”了。他们会翻你的领英、朋友圈，知道你最近在跟哪个客户，然后冒充那个客户发合同附件。附件可能是.docx，打开后弹出“请启用宏以查看完整内容”——那个宏就是勒索病毒的入口。

判断方法不复杂：看发件人完整地址，不是只看显示名。鼠标悬停在链接上，看真实URL。任何要求你“立即处理”“否则账户冻结”的邮件，先打电话跟对方确认。多花两分钟，省掉两百万。

二、密码这件事，别自作聪明

我见过有人把密码设成Company@2024，觉得够复杂了。但攻击者的字典里，公司名+年份+特殊符号的组合排在前100位。更麻烦的是，同一个密码在多个系统复用——一个论坛被拖库，你的邮箱、VPN、OA全沦陷。

正确做法：用密码管理器生成随机密码，每个系统不同。关键账户开双因素认证。短信验证码虽然能被拦截，但比没有强得多。有条件的话，用硬件密钥或认证器App。

三、公共Wi-Fi和USB设备：物理接触才是降维打击

咖啡厅的免费Wi-Fi，名字叫“Cafe_Free”，也可能是隔壁桌那台笔记本开的热点。你连上后，所有未加密流量都在他手里。HTTPS能挡一部分，但DNS查询、部分App的明文请求照样暴露。

更直接的是USB。你在停车场捡到一个U盘，好奇插进电脑——那里面可能是一个伪装成文档的恶意脚本，或者一个会模拟键盘输入、自动执行命令的硬件设备。别插。交给IT部门处理。

四、数据分级：不是所有文件都能往微信传

研发部的源代码、财务部的报表、HR的薪酬表，这些文件发到个人微信、上传到个人网盘，等于把公司保险柜搬到广场上。微信的文件传输助手不是加密通道，个人网盘的数据归属权也不在你手里。

公司如果有内部协作平台，就用内部平台。没有的话，至少用公司邮箱+加密压缩包，密码通过另一个渠道发送。别图省事。

五、事件上报：瞒着不报才是最大的坑

很多人中了招不敢说，怕被骂。结果病毒在内网横向扩散，从一台电脑变成整个域控被控。安全团队最怕的不是你点错链接，而是你点完之后假装没事。

发现异常——电脑变慢、文件被加密、弹出奇怪窗口、收到异常登录提醒——立刻断网、拔网线、关Wi-Fi，然后联系IT。越早上报，损失越小。这是流程，不是追责。

信息安全培训不是走过场。那些课件里的案例，每一个背后都有真实的人丢了工作、公司赔了钱。你不需要成为安全专家，只需要在点下鼠标前，停半秒。