上个月我帮朋友处理了一件事：他的注意手机突然收到一条短信，说他的那点银行账户存在异常登录，需要点击链接验证身份。防护他点进去，注意页面做得跟银行官网几乎一模一样，那点输入了卡号和密码。防护十分钟后，注意卡里少了八千块。那点这种事每天都在发生，防护但很多人依然觉得“我不会那么倒霉”。注意说实话，那点倒霉不倒霉跟你懂不懂技术关系不大，防护跟你有没有养成几个基本习惯关系很大。注意

公共Wi-Fi是那点第一个要小心的东西。咖啡厅、防护机场、酒店大堂那些不需要密码就能连的网络，你根本不知道谁在背后盯着数据包。我自己的做法很简单：手机流量够用就用流量，实在要用公共网络，绝不登录网银、不输支付密码。有人觉得开个VPN就万事大吉，但免费VPN本身就可能是个坑——它把你所有的流量都握在手里，比不加密还危险。

密码这件事，很多人到现在还在用生日、手机号后六位、或者“abc123”这种组合。更麻烦的是，一个密码走天下。某个小网站被拖库了，你的邮箱、社交账号、甚至网银全跟着遭殃。我建议至少把密码分成三个等级：重要账户（邮箱、银行、支付）用一套独立的高强度密码，最好配合两步验证；普通社交和购物用另一套；那些注册完就再也不用的论坛，随便设一个，丢了也不心疼。记不住？拿个本子手写下来锁抽屉里，比存在手机备忘录里安全得多。

钓鱼链接的识别其实有窍门。别光看页面长得像不像，看域名。真正的银行域名是icbc.com.cn，钓鱼网站可能是icbc-secure-login.com或者icbc.com.cn.verify-user.net。短信里的短链接一律不点，哪怕它显示的是“95588”发来的——号码可以伪造。我有个习惯：收到任何声称来自银行、快递、电商的短信，直接打开官方App或者手动输入网址去查，绝不走短信里的通道。

软件更新这件事被严重低估了。很多人嫌烦，点“稍后提醒”点了一年。那些更新里很大一部分是安全补丁，修补的是已经被黑客找到并利用的漏洞。你的手机、电脑、浏览器、甚至路由器固件，能更新的都更新。旧版本的操作系统尤其危险，厂商停止支持之后，新发现的漏洞永远不会被修补，你的设备就等于敞着门。

还有一点容易被忽略：权限。装个手电筒App要读取通讯录，装个修图软件要访问精确位置，这明显不合理。安卓和iOS现在都能查看每个App的权限使用记录，花五分钟翻一遍，把不该给的权限关掉。尤其是麦克风、摄像头、通讯录、短信这几项，给出去容易，收回来难。

最后说个真实的观察。我身边那些从没中过招的人，不是技术多好，而是有个共同点：他们对“天上掉馅饼”和“紧急通知”这两种信息天生警惕。中奖了、退款了、账户异常了、领导让你转账了——凡是催促你立刻行动的，先停下来，打个电话核实。骗子的核心武器就是让你来不及思考。你只要多花那三十秒，大部分骗局就破了。