小白网入侵家园

凌晨三点十七分，小白我手机屏幕突然亮了。网入不是小白消息，是网入智能门锁App的推送——“前门已开启”。我住的小白是老式小区，那扇门锁是网入我上个月刚换的，连Wi-Fi，小白能远程看记录。网入我翻身坐起来，小白点开实时画面，网入门口空荡荡，小白楼道灯也没亮。网入但App日志里确实多了一条开锁记录，小白操作来源写着“小白网”。网入

小白网，小白一个我从来没注册过的平台。后来我才搞明白，那是我家智能门锁的默认远程管理后台。装锁的师傅当时提过一嘴：“扫码下个App就能用。”他没说的是，那个App背后挂着一个叫“小白网”的云端控制台，所有同型号门锁共用一套权限逻辑。出厂密码是六个8，改不改随你。我没改。

这不是孤例。我翻了小区业主群，四百多人的群，至少七个人说过门锁半夜自己弹开。有人以为电机故障，有人换了电池，没人往“被入侵”上想。直到我把日志截图发出去，一个做安防的邻居回了一句：“小白网去年就被曝过，数据库裸奔，谁都能调开门记录。”

我去搜了。那篇报道还在，日期是去年三月。小白网的API接口没做鉴权，只要知道设备ID，就能远程下发开锁指令。设备ID怎么来？扫一遍小区Wi-Fi列表，匹配MAC地址段，再撞库。整个过程不需要任何技术门槛，一个脚本跑十分钟。

更离谱的是摄像头。我客厅那个摇头机，也是小白网生态里的。我试了试，用默认账号密码登录网页端，居然能看到同小区另一户的实时画面。那家在吃饭，小孩在沙发上跳。我立刻退出来，手心全是汗。这不是漏洞，这是敞开的大门。

厂家后来发过补丁，要求强制改密码。但补丁只推给新激活的设备。老用户？没人通知。我那个门锁是去年双十一买的，出厂固件至今没更新过。小白网官网的“安全中心”页面，最后一条公告停在2022年9月，标题是《关于强化密码策略的说明》，点进去是404。

我打电话给客服。对方说：“您可以把设备恢复出厂设置，重新绑定。”我问：“重新绑定之后，默认密码还是六个8吗？”她沉默了三秒，说：“建议您自行修改。”我说我改了，但小白网后台的登录密码和门锁本地密码是两套。她重复：“建议您自行修改。”

那天晚上我把门锁拆了，换回机械锁。摄像头拔了电源，塞进抽屉。智能音箱也断了网。我坐在黑暗里想，这些东西买的时候都打着“安全”“便捷”的旗号，结果最基础的“不被别人打开”都做不到。小白网不是黑客组织，它就是个偷懒的云服务商，把用户当测试数据。入侵家园？它根本不需要入侵，门本来就开着。

第二天我在业主群发了条长消息，附上报道链接和我的日志截图。有两个人回了“谢谢”，一个人问“怎么改密码”。剩下的人继续聊团购和遛狗。我把群屏蔽了。晚上回家，对门邻居正在换锁，看见我，扬了扬手里的新锁：“还是机械的靠谱。”我点点头，没说话。