去年冬天，提高我一位朋友收到一条短信，网络说她的安全快递因地址不详被退回，附了一个链接让她重新填写。防范她正好那几天在等一个包裹，意识没多想就点了进去。提高页面做得跟某快递官网几乎一模一样，网络她填完姓名、安全电话、防范地址，意识最后一步要求输入银行卡号和验证码。提高她犹豫了两秒，网络还是安全输了。十分钟后，防范卡里少了八千块。意识

这种事每天都在发生。不是受害者笨，是攻击方式越来越像真的。短信里的快递单号是真的，网页的logo是真的，甚至连客服电话都能转接到真人。你很难靠“多留个心眼”来分辨，因为对方下的功夫比你想象的深。

我自己也差点中招。有次在咖啡厅连了个叫“Cafe_Free_WiFi”的热点，弹出一个登录页要我用微信扫码。扫完没反应，我就没管了。后来才知道那是钓鱼热点，扫码等于授权对方获取了我的微信昵称和头像。虽然没造成实际损失，但那种“被看光了”的感觉很不舒服。公共WiFi不是不能用，但别在上面登录任何账号，更别扫码。

密码这件事也值得多说两句。很多人喜欢一个密码走天下，邮箱、银行、购物网站全用同一个。一个网站泄露，全部沦陷。我自己的做法是：重要账户用独立密码，记不住就写在纸上锁抽屉里，比存在手机备忘录里安全。手机备忘录一旦被同步到云端，跟公开差不多。另外，别用生日、手机号、名字拼音当密码，这些在社工库里都是优先尝试的选项。

说到社工库，可能有人觉得离自己很远。其实只要你在网上填过信息，就大概率在某个库里躺着。前几年有个叫“QQ群关系”的数据库泄露，输入QQ号就能查到绑定的手机号和真实姓名。这些数据被反复倒卖，骗子拿到后能准确说出你的名字、单位、最近买过什么。所以接到陌生电话，对方能报出你的个人信息，不代表他就是官方人员。挂掉，打官方客服核实，别嫌麻烦。

还有一类攻击专门针对手机。比如伪基站发的诈骗短信，冒充银行说积分兑换现金，链接点进去就要你填卡号密码。这种短信的发送号码甚至能伪装成95588。识别方法其实很简单：银行不会发链接让你填密码。任何要你输入密码、验证码的链接，一律当诈骗处理。验证码是最后一道防线，给出去等于把钥匙交给别人。

企业员工更要注意。我认识一个做财务的，收到“老板”微信让她转一笔合同款，头像和名字都对。她打电话过去没人接，就在微信上问了句“老板你在吗”，对方回“在开会，先转”。她转了，三十万。后来发现那个微信号是冒充的，头像和名字跟真老板一模一样。这种叫“商务邮件诈骗”的变种，专门盯着财务和行政人员。涉及转账，必须电话或当面确认，微信和邮件都不算数。

说这么多，不是要你活得提心吊胆。网络安全本质上是个成本问题：攻击者花多少成本来骗你，你花多少成本来防。大多数骗局成本很低，群发短信、批量扫号，骗到一个算一个。你只要把防御成本稍微提高一点——比如开个双重验证、不同网站用不同密码、转账前打个电话——大部分攻击就会绕开你，去找更容易的目标。

我自己的习惯是：手机系统更新一出来就装，别拖；重要账户全部开双重验证；收到任何带链接的短信，先删再说；公共场合不连陌生WiFi；转账前一定打电话。这些事花不了几分钟，但能挡住九成以上的常见攻击。剩下的那一成，靠的是别贪心、别慌张、别嫌麻烦。骗子最怕的就是你挂掉电话、关掉页面、多问一句。