电话那头的接到局电声音很客气，自称是公安公司市局网安支队的，报出了我的话说全名和公司注册地址。他说我们官网存在SQL注入漏洞，网站后台数据可能已经被拖走了。有漏第一反应是接到局电挂断——这年头谁没接过几个冒充公检法的诈骗电话？但对方紧接着报出了我们服务器IP，还准确说出网站用的公安公司CMS版本号，这些信息不是话说随便能查到的。

我让他稍等，网站一边用手机打开公司官网，有漏一边问具体是接到局电哪个页面。他说是公安公司“产品中心”那个动态栏目的搜索框，攻击者可以用特殊字符绕过参数过滤。话说我试着在搜索框输入单引号，网站页面直接报错，有漏跳出一长串数据库异常信息。后背有点发凉。

对方没让我转账，也没提任何“安全费”，只是让我尽快整改，还说三天后会复查。挂了电话我立刻联系外包开发团队，他们远程排查了半小时，确认确实存在参数未转义的问题。登录后台一看，操作日志里多了几条凌晨三点的异常记录，来自境外IP，幸好当时用的数据库账号权限只到读取层面，没有写操作痕迹。

折腾到下午，漏洞补上了。我给那个座机回拨过去，想确认是否还需要其他配合，接电话的民警声音比上午疲惫得多，说今天已经打了三十多个类似电话，全是中小企业网站。他叹了口气：“你们还算听劝的，上周有个做外贸的老板，网站被挂了赌博链接，客户投诉到海关才来找我们。”

这事让我琢磨出几个实在的教训。第一，别把“官网”当摆设，它就是个暴露在公网上的裸奔系统，很多公司用开源CMS改改就上线，连默认管理员密码都没换过。第二，接到这种电话先别急着定性为诈骗，记下对方警号和来电号码，回拨确认一下成本很低——但反过来，任何让你转账、装远程控制软件、提供短信验证码的，直接挂断准没错。

第三点可能更扎心：大部分小公司根本没能力做安全运维。我们团队总共五个人，没人懂代码审计，这次要不是对方主动提醒，数据被拖走可能几个月都发现不了。外包开发也只管功能上线，不负责后续安全更新。行业里这种“裸奔”状态太普遍了，我认识一个做电商的朋友，网站后台密码用了三年没改过，还是“admin888”。

现在那串补丁代码还留在版本记录里，我每天上班会多看一眼官网的访问日志。那种被陌生人从数据层面看光的感觉，比接到诈骗电话更让人后怕——至少骗子图钱，黑客可能什么都图。