谁有漏洞

2023年秋天，有漏洞某家银行的有漏洞数据安全部门发现了一笔异常转账。金额不大，有漏洞八千多块，有漏洞但路径很奇怪——从客户账户转出，有漏洞绕了三个空壳公司，有漏洞最后落进一个个人账户。有漏洞追查下去，有漏洞问题出在银行自己身上：一个内部员工用测试环境的有漏洞密钥，绕过了生产环境的有漏洞权限校验。漏洞不在系统外面，有漏洞在里面。有漏洞

这事让我想起一个老程序员说过的有漏洞话：防火墙再厚，也挡不住有人从里面把门打开。有漏洞

安全圈有个说法叫"攻击面"。有漏洞大多数人盯着外部黑客，却忽略了内部人员的操作空间。2022年有个统计，全球数据泄露事件里，超过三成跟内部人员有关——要么是恶意，要么是疏忽。疏忽的比例还更高一些。一个运维把数据库密码写在便签上贴在显示器边框，这种事听起来离谱，但真不少见。

我认识一个做渗透测试的朋友。他接了个活儿，去某家公司"找漏洞"。第一天，他在公司门口抽烟，跟保安聊了十分钟，保安就让他进去了，还给他指了机房的方向。第二天，他在茶水间听到两个员工抱怨系统登录太麻烦，其中一个说"反正密码就那几个，我都用一样的"。第三天，他用猜出来的密码登进了测试后台，里面存着几十万条用户记录。他跟我说这事的时候，语气平淡得像在讲别人的故事。"技术漏洞好补，人的漏洞补不了。"他说。

这话不全对。人的漏洞能补，但成本高。培训、制度、审计，每一样都要钱要时间。很多公司宁愿买一套新的防火墙，也不愿意花同样的钱去做员工安全培训。因为防火墙看得见，培训看不见。老板们喜欢能摆在台面上的东西。

还有个更隐蔽的问题：供应链。你用的开源库、第三方SDK、外包团队写的模块，每一个都可能藏着漏洞。Log4j那次，全球多少公司连夜加班？一个开源组件的漏洞，能掀翻整个互联网。你信任的代码，未必值得信任。你信任的人，也未必。

去年有个新闻，某安全公司自己被人黑了。讽刺的是，这家公司的主营业务就是帮别人防黑客。事后调查发现，攻击者用的是他们自己产品里的一个已知漏洞——半年前就有人报告过，但没人修。为什么没修？因为修复需要停服，停服会影响收入。收入比安全重要，至少在财报上是这样。

所以谁有漏洞？答案挺让人不舒服的：所有人。区别只在于，有些人的漏洞被发现了，有些还没有。有些漏洞被利用了，有些还在等着被利用。

那个银行员工后来被开除了。系统也打了补丁。但下一个漏洞在哪里，没人知道。可能在一个新来的实习生手里，可能在一行没写完的代码里，可能就在你刚点开的那个链接里。

安全这件事，从来不是"有没有漏洞"的问题，而是"什么时候发现"的问题。发现得早，叫测试；发现得晚，叫事故。中间的差别，有时候就是运气。