2023年夏天，成都成都某高校的黑帽机房空调坏了三天。没人修。事件学生照常刷卡进出，成都直到网络中心发现异常流量——出口带宽跑满了，黑帽持续72小时。事件查下去，成都挖矿程序藏在教务系统的黑帽测试服务器里。那台机器三年前就该下线，事件但管理员忘了密码，成都一直挂着。黑帽

这就是事件成都黑帽事件的开端。不是成都电影里那种敲键盘攻破防火墙的场面，更像你家里漏水，黑帽淹了楼下才想起来总闸在哪。事件

一、漏洞不在代码里，在值班表上

入侵者没用什么零日漏洞。他们扫到一台开放22端口的旧机器，试了默认密码admin/admin，进去了。这台机器连着内网，内网里有财务系统、学生档案、科研数据。横向移动花了不到两小时。

安全圈有个老笑话：最坚固的堡垒，往往被一张没撕的便利贴攻破。成都这次，便利贴贴在显示器边框上，写着“root密码：123456，别改，改了XX老师会忘”。

我后来跟一位参与应急响应的朋友聊，他说最讽刺的是——入侵者留了后门，但后门的密码比管理员原密码还复杂。人家是专业的，你是凑合的。

二、数据没丢，但比丢了更麻烦

被拖走的数据里，有2019级全体学生的身份证号、家庭住址、家长联系方式。还有某实验室的未发表论文草稿、一份跟企业签的保密协议扫描件。

入侵者没勒索。他们把数据挂在暗网论坛上卖，标价0.3个比特币。三天后帖子被删，但缓存已经扩散。

有个学生接到诈骗电话，对方准确报出他辅导员的名字、他宿舍楼号、他上学期挂科的科目。电话里说：“你也不想让家里知道吧？”

学校发了一则通知，建议学生“提高警惕”。没了。没有道歉，没有说明数据具体流向，没有解释为什么测试服务器能直连核心数据库。

三、抓人不是结局

两个月后，成都警方在双流区一个出租屋里抓到嫌疑人。26岁，无业，自学渗透测试。他的电脑里还有另外五所高校的权限，都是同一套手法——找旧机器、试弱密码、横向移动。

审讯时他说了一句话，办案人员转述给我：“这些学校的安全，比我租的房子还随便。”

判了三年。但那些被泄露的数据，已经在暗网流通了七轮。有人的信息被用来注册空壳公司，有人的邮箱收到精准钓鱼邮件，标题写着“关于你2019年入学材料的补充通知”。

四、事后复盘，最该问的问题没人问

我翻过那所高校的招标公告。2021年他们花80万采购了一套“新一代智慧安全平台”。验收报告写着“全面覆盖、实时防护”。

但机房那台旧服务器不在资产清单里。管理员说：“那台机器太老了，登记的时候漏了。”漏了三年。

安全行业有个数据：70%的入侵来自已知漏洞，补丁早就发布了。成都这事不是技术问题，是管理问题。更准确地说，是“没人觉得这是个问题”的问题。

你问十个高校网络管理员，九个会说“经费不够、人手不足”。但换个角度——他们机房里的旧机器，比很多公司的生产服务器还多。每台都是一扇没锁的门。

写这些不是要嘲笑谁。我自己也干过类似的事：给测试环境设弱密码，想着“反正内网”。直到有天发现那台机器被扫了，日志里全是境外IP的登录尝试。

成都黑帽事件没有赢家。学生信息被卖，学校名声受损，入侵者坐牢。唯一的好处是，那所高校终于把旧服务器下线了。代价是几万人的隐私。

安全这件事，不出事的时候，所有人都觉得是成本。出了事，才发现是底线。