上个月，被黑一个做外贸的网站朋友半夜给我发消息，说他公司的统计官网被黑了。打开一看，被黑整个页面变成了一行白字黑底的网站“Hacked by 某某”。他第一反应是统计找技术，第二反应是被黑报警。结果技术查完告诉他，网站数据库被拖了，统计客户的被黑联系方式全没了。那网站已经上线七年，网站一直没出过事，统计他以为安全得很。被黑

这其实不是网站个例。我顺手翻了几个公开的统计统计平台，2024年全球被黑网站的数量比前一年涨了将近四成。别急着惊讶——更扎心的是，其中超过一半的网站，漏洞都是“老熟人”，比如用了好几年的CMS插件没更新，或者后台密码还是admin123。黑客根本不需要多高深的技术，扫一遍端口，找个旧版本，直接进。

被黑之后呢？大多数小站主根本不知道。我见过一个做本地餐饮的网站，被植入恶意代码挂了三个月，用来给别的赌博站点导流量。直到有一天，客户打电话说“你们网站打开怎么是博彩页面”，老板才意识到出事了。而搜索引擎早把那个域名标记成了危险站点，流量掉得干干净净。

有意思的是，被黑网站的地域分布也很有意思。按比例算，东南亚和非洲的站点被攻击率最高，但绝对数量上，美国、中国、印度排前三。这跟服务器数量有关，也跟防护意识有关。很多国内小企业主觉得“我网站又没啥秘密，黑我干嘛”——结果被用来发垃圾邮件、挖矿，甚至变成跳板去攻击更大的目标。你不出名，不代表你没价值。

还有一种被黑，是“自己人”干的。我认识一个做电商的，离职的运营带走了后台权限，没删干净。几个月后，那离职员工用旧账号把商品价格全改成一分钱，然后自己下单了几百单。这不算传统意义上的“黑客攻击”，但造成的损失比外部入侵还大。权限管理混乱，比漏洞更致命。

再说个我观察到的现象：很多被黑的网站，恢复之后并没有真正“安全”。他们往往只是把首页改回来，删掉几个明显的恶意文件，然后继续用原来的服务器、原来的密码。就像家里进了贼，换了把锁，但窗户还是破的。不出三个月，大概率再被黑一次。数据也支持这一点——有安全公司统计，超过六成的被黑网站在半年内会再次中招。

说到底，被黑不是技术问题，是管理问题。你更新不更新补丁、用不用强密码、有没有定期备份、员工离职时有没有回收权限——这些听起来无聊的琐事，决定了你的网站是铜墙铁壁还是一张纸。别指望黑客会嫌你小、嫌你穷就不动手。他们要的是你的服务器资源、你的用户数据、你的域名信誉。你越无所谓，他们越高兴。

那个外贸朋友后来花了两周才把网站恢复，客户资料还是丢了大半。他跟我说了一句实话：“早知道当初就花点钱做安全加固了，现在请人应急处理的费用，够我买十年防护服务。”这话听着像事后诸葛，但确实是大多数站主的真实写照。被黑之前，安全预算永远是零；被黑之后，才知道那玩意儿有多贵。