上周三下午，网络我在公司内网误点了一封伪装成“薪资调整通知”的安全钓鱼邮件。三小时后，检讨安全部门打电话过来，网络说我的安全账号在异地尝试登录了十七次。那一刻我后背发凉——不是检讨害怕被骂，是网络突然意识到自己平时那些“图省事”的操作，早就把门钥匙插在锁孔里没拔。安全

先说清楚一件事：我并不是检讨不懂网络安全。我甚至给部门做过两次安全培训，网络讲怎么识别可疑链接、安全怎么设置强密码。检讨但知道和做到之间，网络隔着一整个太平洋。安全我图方便，检讨把公司邮箱密码设成了和私人论坛一样的“老配方”；为了快速传文件，用个人网盘中转客户资料；浏览器保存密码的功能一开就是三年，从没清理过。这些事单独看都不致命，凑在一起就是一条完整的攻击链。

那封钓鱼邮件其实破绽不少。发件人地址是“hr@company-support.com”，比正常域名多了一个横杠。邮件里说“点击链接确认新薪资基数”，按钮颜色和公司惯用的深蓝差了三个色号。我点开的那一瞬间，脑子里闪过“这好像不太对”，但手指比脑子快。事后复盘，我发现自己当时正在赶一个报表，注意力全在“赶紧处理完这封邮件”上。攻击者利用的就是这种心理——不需要骗过你的理智，只需要骗过你的惯性。

安全部门的老陈后来跟我聊了半小时。他没训我，只是问了一句：“你家里大门会为了省事不锁吗？”我说不会。他说：“那为什么数字世界的门你就敢？”这个问题我答不上来。我们总觉得网络安全是技术问题，防火墙、加密算法、入侵检测。但大多数漏洞出在人身上，出在“就这一次”“应该没事”“大家都这样”的侥幸里。我翻了自己的浏览记录，发现过去半年里，我至少用同一套密码登录过二十三个不同网站。其中三个已经爆出过数据泄露，我连改密码都没改。

这件事之后我做了几件具体的事。第一，把所有重要账号的密码换成了随机生成的十六位字符串，用密码管理器统一管。第二，给邮箱和办公系统开了双因素认证，每次登录多花十秒，但心里踏实。第三，把浏览器保存的密码全部清空，不再让浏览器替我做决定。第四，也是最重要的——收到任何带链接的邮件，先看发件人完整地址，再把鼠标悬停在按钮上看真实跳转地址，最后才决定点不点。这套动作现在做起来不到五秒，但能挡掉九成以上的低级钓鱼。

我还改了一个习惯：不再用个人设备处理公司文件。以前觉得用自己手机回个工作消息没什么，现在知道那等于把公司内网和一堆不安全的App放在同一个口袋里。公司配的电脑虽然慢，但至少安全策略是统一的。慢一点，总比事后写检讨强。

写这份检讨不是走形式。我是真的后怕——如果那封邮件不是钓鱼测试，如果攻击者真的拿到了我的权限，客户数据、项目报价、内部通讯录，可能全没了。网络安全这件事，没有“差不多就行”。每一个偷懒的瞬间，都是在给未来的自己挖坑。我现在每次登录系统，看到那个双因素认证的六位数验证码，反而觉得安心。那六位数在提醒我：门锁好了，钥匙在自己手里。

最后说个细节。上周五我又收到一封可疑邮件，发件人伪装成IT部门要求“紧急重置密码”。我盯着那个链接看了三秒，然后转发给了安全部门，删掉了原邮件。老陈回了个竖大拇指的表情。我没告诉他，那三秒里我手心还是出了汗。但至少，这次我没点。