下午三点，口令某金融公司机房。口令安全工程师老周盯着屏幕，口令额角渗汗。口令他刚用“admin/admin123”登进对方核心业务系统，口令后台赫然躺着三万条客户身份证号。口令这不是口令电影情节——昨天下午，这家公司刚做完渗透测试，口令报告里白纸黑字写着“后台弱口令风险极高”。口令运维主管拍胸脯保证“马上改”，口令二十四小时后，口令密码还是口令那个密码。

弱口令这玩意儿，口令像门锁上的口令橡皮泥。你明明知道它软，口令可总有人懒得换。我见过最离谱的案例：某政务系统管理员密码是“1”，对，就一个数字“1”。问为什么，答曰“好记”。结果被脚本扫到，半小时内整个数据库被拖走，连日志都被删干净。事后追责，那位老兄还委屈：“我寻思内网没人知道啊。”

内网？呵。现在谁还分什么内网外网。一个钓鱼邮件、一个U盘摆渡，边界就破了。真正的攻防，早就变成“谁能最快拿到合法账号”。而弱口令，就是攻击者最爱的合法账号来源——不用爆破，不用提权，直接登录，跟拿钥匙开门一样自然。

有人觉得弱口令是技术问题，我偏说它是人性问题。密码设得复杂点，怕自己忘；设简单了，又怕被猜。于是“P@ssw0rd”“Qwer1234”这种看似复杂实则烂大街的组合应运而生。更绝的是，很多人把所有系统设同一个密码——邮箱、OA、网银、甚至社保账号。一个沦陷，全线崩溃。

去年某物流公司出事，黑客就是先拿到一个外包员工的VPN弱口令，顺着内网横移，最后把整个快递面单库打包带走。那位外包兄弟的密码是“123456”，用了五年，公司每季度强制改密，他就从“123456”改成“1234567”。安全部门发通知说密码必须含大小写，他改成“Aa123456”。你看，规则永远在变，人性纹丝不动。

当然，也有较真的。某银行把弱口令检测做成常态化，每季度扫一遍全行账号。第一次扫出四百多个“Test123”，通报批评后降到几十个。但总有漏网之鱼——新员工入职默认密码“Welcome1”，总有人忘了改。系统管理员无奈，只好把首次登录强制改密做成硬性流程，连测试环境都不放过。

技术手段其实早就够用了：密码复杂度策略、双因素认证、登录失败锁定、动态令牌……可现实是，很多单位装了这些“锁”，却把钥匙挂在门口。某医院采购了昂贵的安全设备，结果护士站电脑仍贴着“账号：nurse，密码：nurse123”的便利贴。问负责人，他说“方便交接班”。

说到底，弱口令不是技术漏洞，是管理惰性。再强的防火墙，也挡不住“密码写在便签纸上贴在显示器边框”的日常。你没法用代码修复人类对麻烦的恐惧，只能靠制度和文化硬磨。可制度这东西，最怕“认真”二字——认真起来，连默认密码都能在一天内清光；不认真，安全大会开完，该用“Admin@123”的照样用。

写到这里，我看了眼自己电脑的密码管理器——里面存着两百多个随机生成的强密码，每个都不一样。但坦白说，上周我为了省事，把某个内部论坛的密码改成了“Password1”。然后我又改回来了。因为我知道，那个论坛里虽然没有客户数据，但它连着我的邮箱，邮箱连着云盘，云盘里存着所有密码备份。你看，连写这篇文章的人，都在跟自己的惰性较劲。

弱口令这关过不去，其他安全建设全是空中楼阁。别指望技术能兜底，它兜不住人类的懒。唯一有效的办法，就是把“用弱口令”这件事变得比“不用弱口令”更麻烦——比如每次弱口令检测不通过，就强制走一遍半小时的在线安全培训。麻烦到肉疼，才会长记性。