2023年某地一家三甲医院的网络信息科主任给我看了一份内部通报：一位护士在值班时收到“医院人事部”发来的邮件，附件名为“2023年薪资调整方案.xlsx”。安全她双击打开，培训Excel弹出提示“启用宏以查看完整内容”。课件她点了。网络三分钟后，安全医院内网开始出现异常登录，培训两周后，课件勒索软件加密了超过40TB的网络影像归档数据。手术排期被迫中断，安全急诊转院。培训攻击的课件起点，就是网络那个宏。

这不是安全孤例。网络安全事件里，培训超过八成源于人为操作——点击了不该点的链接，运行了不该运行的文件，或者把不该给的权限随手给了出去。技术防护再厚，只要有人打开那扇门，防线就从内部塌了。

钓鱼邮件，为什么总有人上钩？

你大概觉得自己不会上当。但钓鱼邮件早就不是“尼日利亚王子”那种粗糙把戏了。攻击者会翻你的领英、微博、朋友圈，知道你最近在跟哪个项目，知道你的直属领导叫什么名字。然后伪造一封“领导”发来的邮件，标题写着“关于你上周汇报的反馈”，正文只有一句话：“这份数据你再核对一下。”附件是伪装成PDF的恶意可执行文件。

紧张、好奇、服从权威——这三个情绪被精准利用。人在工作压力下，判断力会下降，这是认知心理学的基本事实。攻击者不需要骗过所有人，只需要骗过一个人，在恰好疲惫的那个下午。

弱密码不是“方便”，是敞开的门

我见过一家公司的内部系统，管理员密码是Admin@123，用了六年没换。问为什么，回答是“换了记不住，大家都这么用”。2022年，攻击者用这个密码直接登入后台，导走了全部客户合同。事后复盘，IT负责人说以为内网隔离就安全了。可远程办公时代，VPN一接，内网就是外网。

密码管理器不难用，双因素认证也不复杂。问题在于，很多人觉得“轮不到我”。直到轮到了。

公共Wi-Fi和U盘：老问题，新代价

咖啡厅的免费Wi-Fi，连上去那一刻，你的流量可能正经过攻击者的设备。中间人攻击不新鲜，但依然有效。更直接的是U盘——在停车场捡到一个U盘，插进电脑看看里面是什么，这个动作在安全演练中成功率高达45%。人的好奇心很难克服。

有个真实的案例：某单位为了“方便”，在会议室电脑上长期插着一个共享U盘，谁要拷文件就用它。后来发现，这个U盘早被植入了自动运行脚本，每次插入都会向外部地址发送一份文档列表。持续了八个月才被发现。

培训要讲人话，别念PPT

我参加过不少企业的安全培训，讲师照着合规条款念，底下人刷手机。效果约等于零。真正有用的培训，是告诉员工：你收到一封邮件，发件人显示的是你同事的名字，但邮箱地址多了一个字母，你该怎么办？是直接回复“你发错了”，还是先打个电话确认？

具体场景，具体动作。比如“看到附件是.exe或.zip，先别点，转发给IT”。比如“有人打电话让你报验证码，直接挂断”。规则越简单，执行率越高。

安全是习惯，不是考试

每年做一次答题，得80分就算过关，这种形式主义救不了任何数据。真正的改变发生在日常：离开工位锁屏，收到可疑邮件多问一句，不把密码写在便利贴上贴在显示器边框。这些动作很小，但攻击者最怕的就是你“多疑”。

那家医院后来恢复了数据，但代价是七位数。护士没有被开除，但她说了一句话我记到现在：“我以为医院有防火墙，我点一下没事的。”防火墙挡不住人点的那一下。安全培训要做的，就是让那一下点不下去。