去年我帮朋友处理过一台被入侵的防止笔记本。黑客没用什么高深漏洞，黑客就是入侵猜中了他路由器的默认密码，进去改了DNS，电脑然后他每次打开银行网站都被导到一个几乎一模一样的防止钓鱼页。等他发现时，黑客卡里的入侵钱已经转走了两笔。这事让我意识到，电脑大多数入侵根本不需要零日漏洞，防止纯粹是黑客日常疏忽给了对方钥匙。

先说密码这件事。入侵很多人喜欢所有账号用同一个密码，电脑方便。防止黑客拿到一个泄露的黑客数据库，比如某个小论坛被拖库，入侵你的邮箱和密码就进了他们的“撞库字典”。他们拿这套去试你的QQ、微信、网银，成功率不低。我自己的做法是：核心账号（邮箱、银行、主社交）用完全不同的强密码，其他不重要的站随便。记不住就写在本子上锁抽屉，比存在浏览器里强。浏览器同步密码一旦主账号被破，全盘皆输。

路由器是另一个重灾区。出厂默认的admin/admin，很多家庭从来不改。黑客扫一遍公网IP段，几秒钟就能找到一堆开放远程管理的路由器。进去之后能干的事太多了：改DNS、开端口转发、甚至刷固件当跳板。我建议进路由器后台，把远程管理关掉，默认密码改掉，固件保持更新。如果路由器太老，厂商早就不发安全补丁了，直接换掉，别心疼那点钱。

系统更新这事听着烦，但确实管用。微软每月补丁里经常修的是远程代码执行漏洞，不补就等于门没锁。我见过有人为了“稳定”关掉自动更新，结果永恒之蓝那波中招，文件全被加密。Windows设置里把更新开着，重启就重启，别拖。Mac用户也别觉得安全，苹果这两年的补丁频率上来了，该更就更。

软件来源得管住。破解版、绿色版、注册机，这些是木马重灾区。我朋友装过一个“免费”的Photoshop，安装包里夹了个键盘记录器，他登录淘宝的每一步都被记下来发到境外服务器。要装软件，去官网或者微软商店、App Store。实在要用破解，扔虚拟机里跑，别放在主力机上。

防火墙和杀毒软件不是万能，但能挡掉大部分批量扫描。Windows自带的Defender现在够用了，别关。第三方杀软选一个就行，装两个反而互相打架。浏览器装个uBlock Origin，能挡掉恶意广告和挂马脚本。Chrome和Edge的“增强保护”模式也打开，谷歌和微软的威胁情报比个人判断准得多。

公共WiFi能不用就不用。咖啡厅、机场的开放网络，黑客可以架个同名热点等你连，或者在同一网络里嗅探未加密流量。非要用的，开手机热点，或者挂个靠谱的VPN。别在公共WiFi下登网银，这是底线。

最后说个容易被忽略的：U盘。捡到的U盘别插。我见过一个案例，攻击者把带恶意快捷方式的U盘扔在目标公司停车场，有人捡了插上，整个内网被渗透。自己用的U盘，从可靠渠道买，别用来路不明的。

这些事做下来，你挡不住NSA级别的定向攻击，但能挡住99%的 opportunistic 黑客。他们没空盯着你一个人，只是扫到谁没关门就进谁家。把门关上，他们就去找下一家了。