6月12日凌晨两点，网络某三甲医院信息科的安全值班手机响了——数据库CPU飙到98%，挂号系统卡死。风险排查发现，通报攻击者利用一个未修复的网络VPN漏洞，在三天前就埋好了WebShell。安全这不是风险电影情节，是通报上周真实发生的事。那家医院后来花了整整两天才恢复门诊秩序，网络期间急诊病人只能手写登记。安全

漏洞本身不新鲜。风险那个VPN厂商的通报补丁三个月前就发了，但信息科的网络人说“系统太老不敢随便动”。这种心态我见得太多了。安全很多单位的风险安全策略就是“别出事就行”，结果往往出大事。攻击者最喜欢这种——你不动，他就有足够时间慢慢摸清内网结构。

这次攻击有个细节值得说。入侵者没急着加密数据，而是先横向移动到了影像归档系统。那里面存着近五年的CT和核磁影像。他们把这些文件复制走，然后删了本地备份。直到第三天，医院才发现部分历史影像打不开了。勒索信是后来才到的，要价40个比特币。这种“先偷再删最后勒索”的套路，比单纯加密狠得多——你就算有离线备份，病人隐私也已经泄了。

我翻了下最近的通报数据。今年上半年，医疗行业被攻击的次数比去年同期涨了六成。教育、政务、能源也没好到哪去。攻击入口排前三的是：暴露在公网的远程桌面、没打补丁的VPN设备、以及弱口令。听起来都是老问题，但就是防不住。为什么？因为很多单位的资产台账根本不准——你连自己有多少个公网IP、多少台老服务器在跑都不知道，谈什么防护。

有个做安全运维的朋友跟我吐槽，他们单位采购了一套态势感知平台，花了小两百万。结果告警每天几千条，没人看。真正有价值的日志被淹没在噪音里。后来他们干脆把平台调成“只记录不告警”，等于买了个昂贵的日志存储器。这事挺讽刺的——工具越买越贵，人的能力却没跟上。

再说回那个医院。事后复盘发现，攻击者最早是通过一个离职员工的账号进来的。那个账号没注销，密码还是默认的。HR那边早就办了离职手续，但IT系统里没人同步。这种流程断层太常见了。安全从来不是纯技术问题，它卡在人事、行政、财务各个部门的缝隙里。

现在很多单位搞“零信任”，口号喊得响。但零信任的前提是身份治理得做好——你是谁、你能访问什么、你什么时候访问的，这些基础数据得实时准确。连离职账号都管不住，零信任就是空中楼阁。我见过最实在的做法是一家券商，他们每周五下午固定做一件事：把HR的离职名单和AD域账号做比对，差一个就通报。坚持了三年，没再出过账号遗留问题。

普通用户能做什么？别用同一个密码走天下。重要账号开双因素认证。看到“系统升级请点击链接”的短信，先删掉。企业侧，把公网暴露面收一收，能不用VPN就不用，换成零信任网关加动态授权。补丁管理别追求“全量及时”，先盯着那几个关键设备——防火墙、VPN、邮件网关、对外Web服务器。这四个地方守住了，八成攻击就进不来。

最后说个观察。每次出大事，大家就紧张一阵，买设备、搞演练、写报告。过三个月，该偷懒还是偷懒。安全这件事，拼的不是谁家产品贵，是谁家运维人员半夜愿意爬起来看告警。那个医院的信息科主任后来跟我说，他们现在每天早上的第一件事，就是看昨天的登录日志里有没有异常IP。这习惯不花钱，但比什么平台都管用。