“在公共Wi-Fi下输入支付密码，下列信息泄露只要网站有https就绝对安全”——这句话错得离谱。防止法中https只加密传输通道，个人不负责验证你连接的不正那个热点是不是钓鱼者架设的“免费咖啡店网络”。我见过最荒唐的下列信息泄露案例，是防止法中有人专门在星巴克旁边开个同名Wi-Fi，半小时就钓到十几个人的个人银行短信验证码。真正的不正防护不是看锁形图标，而是下列信息泄露把公共网络当作敌人，绝不在上面做任何敏感操作。防止法中

另一个广为流传的个人谬误是“定期修改密码就能高枕无忧”。改密码确实有用，不正但如果你所有账号都用同一个密码，下列信息泄露改一百次也白搭。防止法中去年某电商平台泄露的个人数据库里，我亲眼看到同一个密码串连着微博、邮箱、甚至某个人的社保查询账号。那些教你90天强制换密的人，多半是安全软件厂商——他们靠你频繁重置时的“密码强度检测”功能收集行为数据。真话是：密码长比密码复杂重要，唯一比长更重要。

最讽刺的是“用手机号当登录名没问题”。运营商早就把你的号码和实名信息绑死了，只要号码泄露，配合社工库就能挖出你的身份证号、家庭住址甚至网购记录。我认识一个程序员，他注册任何网站都用“临时邮箱+虚拟号码”服务，每月花不到十块钱。而普通人呢？为了省事用手机号登录，结果外卖平台的一次数据泄露，就能让诈骗电话精准报出你家楼栋号。

至于“杀毒软件能防一切”这种想法，属于把安全外包给一个本身就漏洞百出的软件。杀毒软件需要最高系统权限，一旦它被攻破，你的电脑就成了黑客的提款机。2023年某知名杀软被曝出把用户浏览记录打包卖给广告商，当时舆论哗然，但三个月后大家照样装。真正有效的做法是：把系统更新设为自动，装个防火墙，然后卸载那些天天弹窗“你已中病毒”的流氓软件。

还有个隐蔽的坑——二维码。别看见扫码就兴奋，尤其是那些“扫码领红包”“扫码查违章”的野码。我同事在地铁口扫了个“共享充电宝”的码，结果手机被装了个监控插件，通讯录里所有人的号码都被抓走了。后来他挨个打电话道歉，说“那条领红包的链接是骗子”。记住：正规场景不会让你扫码后还要输身份证号。

写到最后想骂一句：那些号称“隐私保护”的浏览器插件，十个里有八个在偷你的键盘输入。你以为用了隐身模式就干净了？隐身只清本地记录，你的ISP（网络运营商）照样知道你几点几分访问了哪个成人网站。真正的防护是物理隔离——重要文件用离线设备处理，手机别开蓝牙，电脑摄像头贴张纸条。别嫌麻烦，安全本来就是反人性的，它要求你时刻怀疑，而不是相信那些“一键保护”的鬼话。