凌晨两点，网站老周的有漏约谈网站被公安拔了网线。不是洞被黑客干的，是公安警察上门，客客气气递了张《约谈通知书》。网站

老周做的有漏约谈是本地生活信息平台，开了三年，洞被注册用户二十万。公安他第一反应是网站得罪谁了，第二反应是有漏约谈服务器被黑。到了局子里，洞被网安大队的公安民警把打印好的漏洞报告往桌上一拍——SQL注入，高危，网站后台管理员密码弱得跟没有似的有漏约谈。更扎心的洞被是，用户手机号、住址、订单记录，全裸奔在公网上，谁都能拖库。

“你知道这些数据在黑市上卖多少钱一条？”民警问他。老周摇头。对方伸出三根手指：“带身份证号的三毛，带银行卡的五毛。你二十万用户，够买一辆国产SUV了。”

老周后背发凉。他压根没想过这茬。网站是外包给一个小工作室做的，当时图便宜，花了八千块。上线后也没做过安全测试，后台密码一直是“admin888”。他以为网站能打开、能下单、不卡顿，就算“没问题”。

约谈不是处罚，是警告。民警给他列了整改清单：修补注入点、强密码、加验证码、日志留存至少六个月。限期一周，复查不过，直接关站。

这周老周过得比创业还累。他连夜联系了三个安全公司，报价从两万到八万不等。最后找了个刚毕业的渗透测试员，小伙子收了一万五，两天找出十七个漏洞，包括一个能让攻击者直接拿到服务器权限的越权接口。

“你们网站连个防火墙都没装。”小伙子一边敲键盘一边说，“就像你家门锁是塑料的，窗户还开着。”

老周想起去年有个用户投诉说账号被盗，他当时以为是用户自己点了钓鱼链接，没当回事。现在回头看，那可能就是漏洞被利用的开始。他有点后怕——如果黑客不是只偷数据，而是把页面改成赌博广告，或者植入勒索病毒，他这三年就白干了。

复查那天，民警拿扫描器又测了一遍，确认高危漏洞清零，才让他把域名解析回去。临走时说了句：“很多小网站主都跟你一样，觉得被盯上是运气差。其实不是，是你们根本没把安全当回事。”

老周现在逢人就说，网站上线前必须做渗透测试，密码别用生日，日志要异地备份。他把后台密码改成了二十位随机字符，存在密码管理器里。上个月有个同行问他怎么做网站省钱，他直接怼回去：“省下安全预算，就是省下你的公司。”

这事过去半年了。老周的网站还在跑，但他养成了习惯——每个月自己用工具扫一遍端口，看有没有异常开放。他说被约谈那天，在局子里喝的那杯茶，比任何付费安全培训都管用。