去年冬天，网络我差点把年终奖转给一个冒充公司财务的安全骗子。对方连我领导的字免制说话习惯都模仿得八九不离十，企业微信头像、费复朋友圈内容全对得上。网络就差最后一步输入验证码时，安全我鬼使神差挂了电话，字免制直接拨了领导手机号——真人在开会，费复压根没这回事。网络那一次我后背发凉了很久。安全网络安全这事儿，字免制真不是费复装个杀毒软件就能糊弄过去的。

很多人觉得黑客离自己很远。网络我原来也这么想。安全直到有次帮朋友修电脑，字免制发现他浏览器里存着十几个网站的明文密码，其中一个还是某银行网银的登录信息。他理直气壮地说“方便”。我当场让他改了密码，顺便把浏览器记住密码的功能关了。方便和危险之间，往往就隔一层窗户纸。

说几个我自己踩过的坑。有回在咖啡馆连公共WiFi，顺手登了邮箱回邮件。第二天邮箱就开始收到各种垃圾推广，发件人地址乱七八糟。后来查日志才知道，那个WiFi热点是别人用笔记本搭的假热点，名字跟咖啡馆官方的一模一样。数据从你设备出去的那一刻，经过的每一跳都可能被人截获。现在我出门宁可开手机热点，也不碰来路不明的WiFi。

密码管理是个老生常谈的话题，但大多数人做得远远不够。我见过最离谱的，是有人用“123456”当公司内部系统的密码，还连续三年没换过。后来系统被撞库，整个部门的数据差点泄露。撞库这词听着专业，原理简单得很——黑客拿你在A网站泄露的账号密码，去B网站、C网站挨个试。一个密码走天下，等于把所有钥匙串在一根绳上，丢一把全丢。

我现在用密码管理器，每个网站独立生成二十位随机密码。刚开始觉得麻烦，习惯之后反而省心。唯一要记住的就是主密码，剩下的交给工具。两步验证能开的全开，短信验证码虽然不算最安全，但比裸奔强太多。有条件的话，硬件密钥更靠谱，插上按一下就行，钓鱼网站根本拿不到凭证。

软件更新这事儿也值得说。很多人看到系统弹窗提示更新就烦，直接点“稍后”。我原来也这样。后来看了一份漏洞报告，某次大规模勒索病毒爆发，中招的全是没打补丁的机器。补丁早就发布了，只是用户没装。黑客找漏洞跟小偷踩点一样，专挑没锁门的。现在我的电脑和手机都设了自动更新，半夜充电时自己装完，第二天直接用。

钓鱼邮件是另一个重灾区。上个月同事收到一封“HR部门”发来的邮件，说年终考核表需要重新填写，附件是个Excel。他点开之后，表格里嵌了宏病毒，差点把整个内网拖下水。识别钓鱼邮件有个笨办法但管用：看发件人域名。把鼠标悬停在发件人名称上，真实地址会显示出来。看着像“hr@company.com”，实际可能是“hr@c0mpany.com”，数字0冒充字母o。多看一眼，能省很多事。

数据备份这件事，我是吃了亏才长记性的。前年硬盘突然挂掉，里面存着半年的项目资料。恢复数据花了两千多块，还只找回一部分。现在我遵循“三二一”原则：三份备份，两种不同介质，一份放异地。移动硬盘加云盘，重要文件再刻张光盘。听起来有点过度，但真出事的时候，你会感谢自己当初的偏执。

最后说点实在的。网络安全不是技术人员的专属责任，它跟锁门关窗一样，是日常习惯。不随便点链接，不轻易给权限，不在陌生设备上登录账号，定期检查授权应用列表。这些动作花不了几分钟，但能挡住绝大多数低级攻击。高级攻击防不住，那是另一回事。普通人把基础防线筑牢，已经能避开百分之九十的麻烦。

那回差点被骗之后，我把所有重要账号的密码换了一遍，开启了登录提醒。每次新设备登录，手机都会收到通知。有次半夜收到一条异地登录提醒，我立刻改了密码并踢掉那个设备。后来查出来是之前某个小网站泄露了数据。你看，风险一直都在，只是有没有被发现而已。

(责任编辑：知识)