去年秋天，信息一家做跨境电商的安全客户公司财务总监收到一封“老板”发来的微信语音，语气急切，培训让她立刻给一个供应商账户转86万。内容语音确实是信息老板的声音，技术手段合成的安全。钱转出去后，培训真正的内容老板在会议上问起这笔款项，财务总监当场愣住。信息报警后追回了一部分，安全但损失依然惨重。培训

这件事说明一个最核心的内容事实：**信息安全的最大漏洞从来不是技术，而是信息人**。防火墙再厚，安全杀毒软件再新，培训只要有人点击了钓鱼邮件里的链接，或者轻信一通冒充IT部门的电话，整个防线就形同虚设。所以，今天我讲的不是那些晦涩的加密算法，而是告诉你，在真实的工作场景里，哪些习惯会要了公司的命，以及你自己的饭碗。

先说密码。我知道你烦透了每隔三个月改一次密码的规定。但你知道黑客破解一个弱密码有多快吗？一个纯数字的8位密码，用普通显卡跑暴力破解，不到两小时就能解出来。我见过太多人用“姓名首字母+生日”这种组合，比如“Zsj19850312”。这种密码在黑客眼里，等于把家门钥匙放在门口地垫下面。更离谱的是，有人把所有账户都用同一个密码，包括公司邮箱和购物网站。一旦购物网站数据库泄露，黑客拿着这组密码去试你的公司邮箱，一试一个准。这叫撞库攻击，不需要高深技术，纯粹靠运气加懒人习惯。

再聊聊邮件。你可能觉得，一封看起来普通的发票附件能有什么危险？实际上，伪装成“电子发票”或“会议纪要”的恶意宏文档，是勒索软件入侵的主要途径。有一次，我们给一家制造企业做应急响应，发现攻击源头就是一位行政人员打开了一个名为“2024年团建活动报名表.docm”的附件。那个文档要求启用宏，她点了“启用”，然后整个文件服务器的文档全被加密，后缀变成了.locky。生产排期表、供应商合同、设备维护记录，全没了。最后交了比特币赎金，才拿到解密密钥，但业务停摆了三天，损失远超赎金。

社交工程攻击更防不胜防。有人会冒充新来的同事，在钉钉或企业微信上私聊你，说“行政部让我统计通讯录，麻烦把部门同事姓名和手机号发我”。这种信息看似不敏感，但结合你在社交媒体上晒的工牌照片、出差行程，就能拼凑出足够多的情报。一个真实的案例是，某公司前台接到“电信运营商”的电话，说网络故障需要远程协助，让她下载一个远程控制软件。前台照做了，结果对方通过她的电脑跳板进入内网，把客户数据拖了个精光。记住，任何主动打来的电话，要求你安装软件、提供验证码、点击链接的，一律按骗子处理。

物理安全往往被忽略。我见过有员工为了图方便，把写着密码的便利贴贴在显示器边框上。更常见的是，离开工位不锁屏，去倒杯咖啡的功夫，旁边的人就能翻看你的聊天记录和未关闭的文件。还有一种情况：打印出来的敏感文件，看完随手扔进普通垃圾桶，而不是碎纸机。别笑，真有公司因为垃圾桶里的财务报表被竞争对手捡到，导致投标底价泄露。

那怎么办？不是让你草木皆兵，而是建立几个简单的肌肉记忆。第一，重要账户开启双重验证，哪怕被偷了密码，对方也进不去。第二，对任何索要敏感信息的行为，多问一句“为什么需要这个？发给谁？”，超过三次追问，绝大多数骗局会露出马脚。第三，每周五下班前，检查一下自己邮箱的自动转发规则，有些木马会偷偷设置转发，把后续邮件抄送黑客。第四，离开工位超过两分钟，按一下Win+L锁屏，这动作成本几乎为零，但能挡住90%的内部偷窥风险。

最后说句掏心窝的话。公司数据泄露，你个人可能觉得“反正损失的是老板的钱”。但根据《数据安全法》和《个人信息保护法》，直接责任人是要承担法律责任的。去年就有个案例，某银行职员因违规导出客户信息卖给中介，被判了三年。别以为信息安全是IT部门的事，那是你每天都要做的选择题——是图一时方便，还是花两秒钟想想后果。就这么简单。