互联网存在的安全风险如何避免

上个月帮朋友处理了一件事。他收到一条“快递理赔”的网存短信，点进链接填了银行卡号和验证码，全风三分钟后卡里八千多块被转走。险何报警、避免联系银行、互联折腾两天，网存钱只追回来一半。全风这种事每天都在发生，险何不是避免运气差，是互联互联网的底层逻辑决定了风险永远存在——数据在光纤里跑，经过无数节点，网存谁都能伸手。全风

风险从哪来？险何大致分三层：你自己的设备、你连的避免网络、你访问的服务。很多人只盯着第三层，觉得“我不乱点网站就没事”。但真正危险的往往是前两层。比如你连了商场免费Wi-Fi，黑客在同一网络里抓包，你输入的密码、聊天记录、甚至没加密的支付请求，全都能被截获。再比如你手机里某个小游戏App，安装时索要通讯录和短信权限，你随手点了“允许”，它就在后台把你的联系人打包卖给了营销公司。这些事不吓人，但天天在发生。

避免风险的第一步，是承认“方便”和“安全”天然打架。你想一键登录、免密支付、自动同步，就得让渡一部分控制权。我的做法很土：重要账户全部开双重验证，不是短信验证码那种，是Google Authenticator或硬件密钥。短信验证码能被“SIM卡交换攻击”截胡，运营商内部人员配合就能复制你的卡。去年美国FBI就通报过，有团伙买通运营商员工，专偷加密货币持有者的短信验证码，单笔最高盗走200万美元。

密码管理也是重灾区。我见过有人用“姓名+生日”当所有平台的密码，一个平台泄露，全部沦陷。别指望自己记，用Bitwarden或1Password生成随机密码，每个网站不一样。你不需要记住它们，只需要记住一个主密码。这比“想一个复杂密码然后到处用”安全一百倍。

网络层面，公共Wi-Fi能不用就不用。非要连，先开VPN。但注意，免费VPN比公共Wi-Fi更危险——它自己就是中间人，你的所有流量都从它服务器过。花钱买靠谱的，或者用手机热点。另外，路由器买回来第一件事是改默认管理员密码，关掉WPS和远程管理。很多人家里的路由器还是admin/admin，黑客扫一遍IP段就能批量控制，把你家网络变成攻击别人的跳板。

设备权限得抠门一点。装App时，通讯录、短信、位置、麦克风，能不给就不给。一个手电筒App要读取你的联系人？直接卸载。iOS和安卓现在都有“仅在使用时允许位置”的选项，别选“始终”。还有，系统更新别拖。那些补丁修的就是已知漏洞，你不打，等于家门钥匙插在锁上还贴了张纸条“欢迎光临”。

最后说个容易被忽略的：别把所有鸡蛋放在一个篮子里。邮箱别只用一家，重要账号绑定的邮箱和手机号分开。我认识一个做自媒体的，所有平台都用同一个QQ邮箱注册，结果邮箱被撞库破解，微博、公众号、B站全被登入，发了乱七八糟的东西。找回花了整整一周。你不需要变成安全专家，但得有点“分散风险”的意识。就像家里不会把现金全塞一个抽屉，网上也一样。

互联网没有绝对安全，只有相对难搞。让攻击你的成本高于收益，大部分脚本小子和自动化工具就会绕开你去找下一个软柿子。这不是悲观，是现实。你锁门不是为了防特种兵，是为了防顺手牵羊的。做到上面这些，你已经比90%的人难搞了。

—— 一个被钓鱼邮件骗过两次、现在连快递短信都要打电话核实的人