去年秋天，防止法我一位做外贸的黑客朋友收到一封“客户”邮件，附件是入侵报价单。他点开后，防止法屏幕闪了一下，黑客没在意。入侵三天后，防止法公司账户里的黑客八万美元被分三笔转走。黑客用他电脑里的入侵邮件记录，模仿他的防止法语气给客户发消息，说收款账号变更。黑客客户没怀疑，入侵钱打过去，防止法追不回来。黑客这事听起来像电影，入侵但就是真实发生的。

黑客进你电脑，八成不是靠什么高深漏洞，而是你自己把门打开的。那封邮件里的附件，其实是个伪装成Excel的脚本文件。双击运行，它就在后台装了个键盘记录器，顺便把浏览器里保存的密码全导走了。我后来帮他查，发现他所有账号——邮箱、网银、公司后台——用的都是同一个密码。一个被破，全线崩溃。

所以第一件事：把密码当内裤，别到处穿同一条。至少分三层。重要账户（网银、主邮箱）用一套独立密码，长度超过12位，混合大小写和符号。普通网站用另一套，社交娱乐再一套。别嫌麻烦，记不住就用密码管理器，比如Bitwarden或1Password。它们帮你生成随机密码，你只需要记住一个主密码。我自己的主密码是一句只有我知道的方言脏话加数字，好记又没人猜得到。

第二件事：双因素认证，能开就开。黑客就算偷到你密码，没你手机也进不去。优先选基于App的验证器（Google Authenticator、Microsoft Authenticator），比短信验证码安全。短信能被拦截，SIM卡能被克隆。我所有邮箱、交易所、云盘都绑了验证器。有一次我换手机，忘了备份验证器，折腾两小时才恢复账号——麻烦，但比被盗强。

第三件事：别乱点链接和附件。看发件人地址，别只看显示名。比如“Apple Support”背后可能是 apple-support@fuckyou.ru。鼠标悬停在链接上，看真实网址。附件如果是 .exe、.scr、.js，或者伪装成 .pdf 但图标模糊，直接删。我朋友那封邮件，发件人域名是 gmail.com，但客户公司实际用 outlok.com——少个o。他当时没细看。

第四件事：更新。不是让你天天点“稍后提醒”。系统更新补的是已知漏洞，黑客专门扫没打补丁的机器。浏览器、插件、路由器固件，都算。我见过一个案例，黑客通过老旧路由器DNS设置，把用户所有网页请求劫持到钓鱼页。路由器买来五年没更新过。设置成自动更新，每月重启一次。

第五件事：公共Wi-Fi别干正事。咖啡厅、机场的免费Wi-Fi，黑客可以架个同名热点，你连上后所有流量从他那儿过。真要查邮件，用手机热点。或者至少开VPN。我出差时见过有人连酒店Wi-Fi登网银，旁边坐着的“住客”笔记本上跑着抓包工具。

第六件事：备份。 ransomware（勒索软件）加密你文件，没备份就只能交赎金。备份要离线，移动硬盘拷完拔掉。云备份也行，但别用同步盘（比如Dropbox同步文件夹），因为同步会把加密后的文件也同步上去。用版本化备份，比如Backblaze或iCloud的“历史版本”。

最后说个反直觉的：别用“安全提问”。你母亲娘家姓、第一辆车、出生城市，这些信息在社交网络上可能找得到。我试过用朋友Facebook信息猜出他三个安全问题的答案。填假答案，记在密码管理器里。

黑客不是神。他们像小偷，挨个拉车门。你锁了车，他就去拉下一辆。上面六条做到，你比90%的人难搞。剩下的10%，靠运气。但至少别当那个车门大开的。

(责任编辑：知识)