上个月隔壁部门的网络老王点开了一封“会议纪要”邮件，附件是安全个压缩包。他双击解压，培训里面蹦出个exe文件，内容屏幕闪了一下，网络然后——财务共享盘的安全访问权限没了。IT部折腾到凌晨两点，培训最后确认是内容勒索病毒。老王说他就犹豫了半秒，网络觉得发件人名字挺熟。安全这半秒，培训代价是内容三十多台机器重装。

网络安全培训要解决的网络就是这半秒的犹豫。不是安全教你成为黑客，也不是培训背什么ISO标准。核心就一件事：让你在点鼠标之前，脑子里能多转一圈。

钓鱼邮件：别信“熟人”，看域名

钓鱼邮件现在做得太真了。真到你扫一眼发件人栏，写着“张总”，语气也对，甚至引用了一两句上周开会的内容。但把鼠标悬停在发件人地址上——zhang.zong@qq.com，而张总公司的邮箱是zhangzong@company.com。差一个字母，或者换了个后缀。

培训里我会让每个人现场翻自己最近二十封邮件，找找有没有这种“李鬼”。十个人里至少三个能找到。有个同事翻出一封“HR部门”发的薪资调整通知，发件人是hr@company-hr.cn，多了个横杠。他说当时差点就填了银行卡号。

记住一个动作：任何邮件里的链接，先悬停看真实地址，再决定点不点。附件是exe、scr、js后缀的，直接删。压缩包带密码的，九成有问题——正经人发文件不会给压缩包设密码还写在邮件正文里。

密码：别用“公司名+123”

去年做内部测试，用脚本跑了三天，猜中了47个弱密码。排前三的是：company123、admin888、qwer!@#$。有人觉得加个感叹号就安全了，其实破解工具里这些组合排在前一百。

培训时我不讲什么“密码学原理”，直接让每个人打开自己的密码管理器——没有的现场装一个。Bitwarden、1Password都行。然后现场生成一个16位随机密码，复制粘贴到测试网站。没人记得住，但没人需要记住。

关键点：不同网站用不同密码。撞库攻击就是拿你在A网站泄露的密码去试B网站。你微博密码泄露了，黑客拿去试你的公司VPN，一试一个准。

公共Wi-Fi：能不用就不用

咖啡厅、机场、酒店大堂的免费Wi-Fi，名字叫“Starbucks_Free”的可能是隔壁桌那哥们儿拿手机开的热点。你连上，他就能看到你所有未加密的流量。培训时我做过演示：用一台笔记本开热点，名字设成“机场免费Wi-Fi”，十分钟内连上来七台设备。其中三台在后台自动同步照片，两台在收邮件。

真要连，别登网银，别输公司账号。用手机热点。如果非要用公共Wi-Fi传文件，确保网站是https开头——但https只保证传输过程加密，不保证对面不是钓鱼网站。

U盘：捡到的别插

停车场捡到一个U盘，插进电脑看看里面有什么——这个动作在安全圈叫“USB掉落攻击”。测试中，我们往公司楼下扔了二十个U盘，捡到并插入电脑的有十一个。其中一个U盘里有个“工资表.xlsx”，打开后宏病毒直接运行。

培训时我会拿一个真的“坏U盘”传着看——外观跟普通U盘没区别，但插上后三秒内自动运行脚本。看完这个，没人再捡U盘了。

培训之后

讲完这些，我会留二十分钟让每个人检查自己的手机和电脑：有没有开双重验证？微信有没有绑定陌生设备？浏览器保存的密码是不是该删了？有个同事查完发现自己三年前离职的旧手机还登着公司邮箱。

网络安全不是IT部的事。防火墙再厚，你点一下钓鱼链接，门就开了。培训结束前我通常说一句：把今天讲的当习惯，别当知识。习惯不用记，手会替你停那半秒。