去年某地一名初中生扫了班级群里发的网络“免费领游戏皮肤”二维码，三分钟后他母亲的安全银行卡被转走八千元。钱追回来的教育件可能性很小，骗子用的网络都是境外账户。这事不是安全个例——我翻过本地公安半年的警情通报，涉及未成年人的教育件网络诈骗案里，超过七成入口是网络社交软件里的链接或二维码。

很多人以为网络安全就是安全装个杀毒软件。这种认知停留在二十年前。教育件现在的网络攻击面早就不在系统漏洞，而在人的安全习惯。

密码这件事，教育件多数人做得不及格

我做过一个小范围统计，网络问过身边三十多个人，安全其中二十一个在不同平台用同一个密码。教育件问他们为什么，回答很统一：“记不住。”问题是，一个平台被拖库，撞库攻击就能把你所有账号试一遍。更麻烦的是，很多人密码设置逻辑极其简单——名字拼音加生日。这种密码用自动化工具跑，不到一秒就出来。

有人会说，那我设复杂点不就行了。复杂但重复，等于没设。真正有效的做法是：核心账号（邮箱、支付、社交主号）用独立密码，可以记在纸上锁抽屉里，比记在手机备忘录安全。手机备忘录一旦被入侵，等于把钥匙串直接递给对方。

公共WiFi是另一个坑

咖啡厅、机场、酒店的免费WiFi，你连上的那一刻，同一网络里的攻击者可以截获你未加密的流量。有人觉得“我又不干什么敏感操作”。你登录微信、刷微博、看邮箱，这些流量如果没走HTTPS，内容就是明文。更隐蔽的是DNS劫持——你输入的是银行网址，跳转到的却是钓鱼页面，界面做得一模一样，你输完账号密码，对方后台就收到了。

有个做渗透测试的朋友跟我讲，他在某连锁酒店大堂坐了一下午，用一台普通笔记本加一个伪造热点，抓到了十一个连进来的设备，其中三个在登录邮箱。他说这事成本极低，低到不需要任何专业技术。

社交工程比技术攻击更致命

你接到一个电话，对方报出你的姓名、身份证号、最近一笔网购记录，然后说“您的订单有质量问题，我们给您退款”。你信不信？多数人会信。这些信息从哪来？快递面单、电商平台内鬼、钓鱼网站后台，渠道多得很。

骗子拿到这些“料”之后，话术是精心设计过的。他们不急着要钱，先让你加一个“客服”微信，发一个退款链接，点进去填银行卡号和验证码。整个过程你感觉是在配合对方解决问题，实际上每一步都在交出控制权。我见过一个案例，受害者是大学老师，被骗走四万六。事后她说：“他连我上周买的什么颜色都说得出来，我根本没往骗子那想。”

设备权限给得太随意

装一个手电筒App，它要读取通讯录。装一个修图软件，它要访问精确定位。你点了“允许”，这些数据就进了对方的服务器。有些App靠卖用户数据活着，你的通讯录、位置轨迹、相册内容，打包卖给广告商或者更黑的下家。更恶劣的，直接在后台开麦克风、传文件。

我的习惯是：安装后先关掉所有非必要权限。手电筒不需要通讯录，计算器不需要定位，一个看小说的App不需要读取相册。每次弹权限请求，停两秒想一想——这个功能真的需要这个权限吗？

备份是最后的防线

勒索病毒这两年安静了些，但没消失。它的逻辑很简单：加密你所有文件，让你交赎金。交不交？多数情况下交了也拿不回完整数据。真正能救你的只有离线备份。移动硬盘、NAS、云盘，至少两份，其中一份不插电、不联网。我自己的做法是每周日晚上把重要文件同步到一块移动硬盘，同步完拔线。这个习惯保持了四年，没用上过，但心里踏实。

网络安全不是一次性的考试，是每天的选择。你点不点那个链接，给不给那个权限，用不用那个密码，都是在做决定。骗子不休息，你至少别给他们留门。

(责任编辑：知识)