2023年11月，安全某中型电商平台的漏洞后台数据库被拖走了整整42万条用户记录。不是事件黑客多高明，是安全运维图省事——测试环境的数据库端口直接暴露在公网，密码还是漏洞“admin123”。这事直到三个月后有人在暗网叫卖数据才被发现。事件安全圈有句老话：最坚固的安全堡垒往往从内部被攻破，但现实更扎心——很多堡垒压根没关门。漏洞

我翻过那家公司的事件漏洞报告。扫描工具半年前就提示过“未授权访问风险”，安全但工单在系统里转了四手，漏洞最后落在一位刚入职的事件实习生桌上。他点了“已阅”，安全然后继续干别的漏洞活。安全团队总共三个人，事件要管两百多台服务器、四十多个业务系统。负责人后来跟我聊，说他们每天收到的告警邮件超过800封，“真的看不过来，只能挑红色的点开”。

这不是孤例。去年某头部社交平台被撞库，攻击者用的是五年前某论坛泄露的账号密码组合。用户图方便到处用同一个密码，平台图省事不做异常登录拦截。结果凌晨三点，两千多个账号在同一秒内从三个不同国家发起登录请求，风控系统愣是没反应。第二天客服电话被打爆，公关部门还在写“我们高度重视用户信息安全”的模板声明。说真的，这种声明我都能背了。

漏洞本身不吓人，吓人的是修补速度。微软每个月第二个周二发补丁，但很多企业拖到第三个月才测试，第六个月才部署。中间这几个月，攻击者拿着公开的漏洞详情挨个扫IP段。有个做医疗系统的客户，服务器还在跑Windows Server 2008，理由是“业务软件只兼容这个版本”。我问他知不知道永恒之蓝，他说知道，但“应该不会有人盯上我们这种小医院”。后来他们被勒索了，比特币要价不高，十二万人民币。付了，数据也没全恢复。

更隐蔽的是供应链漏洞。你用的开源组件、第三方SDK、甚至编译器，都可能被人埋了后门。2020年SolarWinds事件，攻击者往软件更新包里塞了恶意代码，一万八千个客户自动下载安装，包括美国多个政府部门。这事最恐怖的地方在于：你什么都没做错，按时更新、信任供应商，照样中招。安全圈从此多了个词叫“零信任”——不是不信任任何人，是默认所有环节都可能出问题，包括你自己写的代码。

个人能做什么？别用同一个密码，别点陌生链接，别在公共WiFi下登网银。这些老生常谈听着烦，但真能挡住八成以上的低级攻击。企业层面，把测试环境跟生产环境隔离，给数据库加个白名单，定期删掉离职员工的账号。都是笨办法，但管用。我见过最离谱的一家创业公司，CTO离职半年了，他的VPN账号还能登录核心系统。问就是“忘了删”。

安全这事没有一劳永逸。你今天补了漏洞，明天又出新CVE；你防住了外部攻击，内部员工可能把数据拷进U盘带走。它更像一场没完没了的猫鼠游戏，而且老鼠经常赢——因为老鼠只需要找到一个洞，猫得守住整面墙。但至少，先把门关上。别让“admin123”这种密码出现在任何生产环境里。真的，求你了。