网络安全知识

2017年5月12日，网络一个普通的安全星期五下午，英国国家医疗服务体系的知识电脑屏幕上突然跳出红色勒索信。医院急诊室被迫关门，网络救护车改道，安全癌症患者的知识放疗预约被取消。攻击者只索要300美元比特币，网络却让整个医疗系统瘫痪了三天。安全这不是知识科幻电影，而是网络WannaCry勒索病毒的真实战绩。它利用的安全漏洞，美国国家安全局早在几个月前就发现了，知识但一直偷偷留着没用——直到被黑客盗走。网络

这件事最讽刺的安全地方在于：漏洞不是黑客发现的，是知识政府发现的。政府不告诉微软，微软就没打补丁。等补丁终于出来，全球还有几十万台电脑没更新。医院、学校、工厂，这些地方的系统往往老旧，IT部门人手不够，或者根本没人意识到要补。你猜怎么着？中国也有不少高校和加油站中招。当时我有个朋友在某大学图书馆，眼睁睁看着检索系统变成红色，管理员只能手写登记借书。

所以别觉得网络安全离你很远。你手机里那些App，每一个都在收集你的数据。位置、通讯录、浏览记录，甚至你走路时手机晃动的频率都能被用来判断你的情绪状态。有些公司把这些数据卖给广告商，有些卖给保险公司，有些卖给政客。你下载一个手电筒App，它要读取你的短信权限——这不是手电筒，这是间谍软件。

我见过最蠢的密码是"123456"。也见过最聪明的做法——一个做金融的朋友，密码是"CorrectHorseBatteryStaple"这样四个随机单词的组合。他说这比任何复杂符号都难破，因为黑客的字典攻击主要针对常见词和数字组合。他说得对。2019年某大型银行数据泄露，事后分析发现，超过60%的账户用的是弱密码或重复密码。

钓鱼邮件是个老话题了，但手法一直在升级。现在不光有假银行通知，还有假HR发来的简历附件、假快递员的取件码短信。去年我差点上钩——一封看起来像来自我老板的邮件，语气模仿得惟妙惟肖，让我"紧急处理一份合同"。要不是我多看了发件人地址一眼（其实是boss@company-support.com），我就点进去了。记住：真正的老板不会用免费邮箱发工作指令。

公共Wi-Fi是另一个雷区。在咖啡馆连上"FreeWiFi"后，你输入的任何账号密码都可能被中间人截获。别以为大网站有HTTPS就安全了——如果黑客在入口处做了ARP欺骗，你看到的HTTPS也可能是伪造的。我的建议是：公共网络下绝不登录网银，最多刷刷新闻。真要处理重要事务，用手机热点。

说这些不是让你恐慌，而是让你养成习惯。打补丁这件事，Windows系统设成自动更新就行，别嫌烦。密码管理器值得投资，几十块钱一年，省心太多。看到可疑邮件，先打电话确认。这些动作花不了五分钟，但能挡住99%的常见攻击。

最后说个真实案例。2021年，美国科洛尼尔管道公司被勒索攻击，导致东海岸燃油供应中断。公司CEO后来承认，他们付了440万美元赎金，但FBI追回了部分。更讽刺的是，攻击者是通过一个已经不用的VPN账号进入系统的——那个账号没有密码保护，就这么挂在公网上好几年。有时候，最先进的攻击手段，最后用的却是最笨的入口。安全这件事，往往不是输在技术上，而是输在疏忽上。