2023年秋天，网络某三甲医院的安全挂号系统被勒索病毒锁死，门诊停了四个小时。知识原因查出来，培训一个后勤人员的视频邮箱密码是“123456”，攻击者用撞库工具试了不到两分钟就进去了。网络这事不是安全段子，是知识真实通报里的案例。网络安全这东西，培训平时感觉像空气，视频一旦出事，网络就是安全窒息。
很多人觉得“我又不是知识CTO，安全跟我没关系”。培训错得离谱。视频你手机里那点东西——相册、聊天记录、银行卡绑定——在黑产眼里全是明码标价的商品。一个活跃的普通邮箱账号，暗网上卖不到一杯奶茶钱，但批量打包出售，一天能走几十万条。攻击者不挑食，他们用自动化脚本扫全网，谁的防线薄就先吃谁。
说个我亲眼见过的场景。某公司前台小姑娘，收到一封“HR部门”发来的邮件，标题是《关于调整年终奖发放标准的通知》，附件是个Excel。她点开，弹出一个宏启用提示，顺手点了“启用内容”。三秒后，屏幕闪了一下，她以为没事。实际上，那个宏已经在她电脑里装了个远程控制木马。两周后，公司财务的付款审批流程被劫持，一笔87万的货款打到了境外账户。事后溯源，攻击链条的起点就是那个“顺手一点”。
钓鱼邮件为什么总有人上钩？因为它精准拿捏了人的情绪。恐惧、好奇、贪婪、紧迫感——这四样东西一勾一个准。“你的账户存在异常登录，请立即验证”“你有一笔退款待领取”“老板让你马上加这个QQ群”。话术迭代比杀毒软件更新还快。你以为是运气不好才中招？不，是攻击者比你更懂你自己。
密码管理这块，我说话可能不太好听。用生日、手机号、名字拼音做密码，等于把钥匙插在门上还贴了张纸条写“欢迎光临”。更麻烦的是“一套密码走天下”。一个论坛被拖库，你的邮箱、网银、社交账号全跟着裸奔。撞库工具跑一遍，几秒钟的事。正确做法？用密码管理器，每个站点独立随机密码。记不住？那就对了，本来就不该靠人脑记。
公共Wi-Fi是另一个重灾区。咖啡厅、机场、酒店大堂，那些不设密码的“Free WiFi”，有些就是攻击者架设的蜜罐。你连上去，所有未加密的流量——包括你输入的账号密码——都在别人眼皮底下裸奔。我试过在某个商圈用抓包工具，十分钟内抓到了十几个明文登录请求。其中有个哥们儿在登录公司OA，用户名和密码看得一清二楚。别觉得开个HTTPS就万事大吉，SSL剥离攻击了解一下。
软件更新弹窗烦不烦？烦。但那个补丁可能正在堵一个已经被野外利用的漏洞。WannaCry爆发那年，微软早在两个月前就发布了MS17-010补丁。那些没更新的机器，成了病毒的自助餐厅。攻击者不创造漏洞，他们只是漏洞的搬运工，专挑没打补丁的下手。你省下的那三分钟重启时间，可能要用三天甚至三个月的业务停摆来还。
说点实在的。个人能做的，无非几件事：密码分站独立、开双因素认证、不点陌生链接和附件、及时更新系统、公共网络不处理敏感事务。企业层面，别光买设备不买服务，别把安全当合规任务应付。渗透测试、员工演练、日志审计，这些不是成本，是保险。真出了事，保险赔的是钱，安全体系保的是命。
最后讲个细节。某次安全演练，我们给五百个员工发了模拟钓鱼邮件，点击率23%。其中有个部门经理，点了链接还填了账号密码。事后找他聊，他说“我看发件人名字是IT支持，没多想”。攻击者要的就是你“没多想”的那一秒。安全不是技术问题，是习惯问题。习惯这东西，得练，得反复练，练到形成肌肉记忆。
别等出事再学安全。那时候学费太贵了。