2023年秋天，入侵某三甲医院的计算机挂号系统在凌晨两点突然瘫痪。值班工程师赶到机房时，入侵屏幕上跳出一行字：“你们的计算机数据库在我手里，48小时内打款。入侵”这不是计算机电影桥段，是入侵真实发生的勒索软件攻击。入侵者没有撬锁，计算机没有翻窗，入侵他们只是计算机用了一个偷来的VPN账号，像正常员工一样登录，入侵然后花了三周时间慢慢摸清内网结构。计算机

很多人以为黑客入侵靠的入侵是某种神乎其技的代码。实际情况恰恰相反。计算机我跟踪过十几个公开披露的入侵入侵案例，超过七成的入口是弱密码、未修复的漏洞、或者钓鱼邮件。2021年Colonial Pipeline输油管道被勒索，起因就是一个废弃的旧VPN账号没注销，密码还是“Password123”。对，就这么简单。

入侵的第一步通常叫“侦察”。攻击者会扫一遍目标对外的IP段，看哪些端口开着。22端口开着？那是SSH，可能能暴力破解。3389端口？远程桌面，如果密码强度不够，几小时就能撞开。有个做渗透测试的朋友告诉我，他给客户做评估时，用Shodan搜一下，就能找到几百台暴露在公网的数据库，连密码都没设。这些机器的主人甚至不知道自己的数据正在被全世界围观。

拿到一个入口之后，攻击者不会立刻大闹。他们会先种一个后门，然后花几天甚至几周做“横向移动”。什么意思？就是从这个被攻陷的机器出发，去试探内网里其他机器。找共享文件夹、找保存的密码、找域控服务器。这个过程像小偷进了一栋楼，不急着偷东西，先摸清哪层没人、哪扇门没锁、保险柜钥匙放在哪个抽屉。

钓鱼邮件是另一条捷径。我见过一封伪装成“财务部工资条”的邮件，附件是个Excel文件，打开后提示“启用宏以查看内容”。一旦启用，宏代码就悄悄下载一个远控木马。整个过程用户只看到“文件已损坏”的提示，实际上木马已经在后台运行了。这种攻击不依赖任何技术漏洞，纯粹利用人的好奇和信任。

入侵成功后，攻击者的目标各不相同。有的是偷数据转卖，有的是加密文件勒索，有的只是留个后门，等以后需要时再用。有个案例里，攻击者在内网潜伏了八个月，把核心数据库的每一条记录都复制走了，公司直到收到竞争对手的报价单才发现不对劲。

防御这件事，说复杂也复杂，说简单也简单。打补丁、用强密码、开双因素认证、别乱点附件。这些老生常谈的手段能挡住九成以上的攻击。但现实是，很多公司连最基本的资产清单都没有——不知道自己有多少台服务器、哪些在公网、跑着什么服务。你没法保护你不知道存在的东西。

我自己的习惯是：所有重要账号都开双因素，密码用密码管理器生成，从不重复。路由器固件每季度更新一次。听起来麻烦，但比起被入侵后折腾几周，这点麻烦实在不算什么。入侵者找的是最容易得手的目标，你只要比隔壁稍微难搞一点，他们大概率就换目标了。