2023年3月，国内某省会城市三甲医院的外网挂号系统被勒索病毒锁死，门诊瘫痪了整整四个小时。络安例攻击者要价不高，全典两个比特币。型案医院没付，国内找安全公司恢复了数据。外网事后复盘，络安例入侵入口居然是全典一个外包运维人员用弱口令登录的VPN账号——密码是“admin123”。这事没上热搜，型案但它比很多大新闻更能说明问题：网络安全最薄弱的国内环节，往往不是外网技术，是络安例人。

国内这类事不少，全典只是型案大多数没被公开报道。我接触过一家中型制造企业，2022年被钓鱼邮件骗走了财务权限，对方冒充老板发了一封“紧急付款”邮件，财务没打电话核实就转了87万。钱追回来一部分，但这件事之后，他们才开始做员工安全培训。之前不是不知道有风险，是觉得“我们这种小公司没人盯着”。攻击者恰恰就盯着这种心态。

国外的案例更凶。2021年美国科洛尼尔管道公司被DarkSide勒索组织攻击，直接导致美国东南部燃油供应中断，加油站排长队，航空公司临时调整航班。一家管道公司的安全漏洞，能搅动整个区域的能源供应。这家公司的IT和OT系统没有做好隔离，一个泄露的VPN密码就成了突破口。事后美国运输安全管理局紧急出台管道网络安全指令，但代价已经付了。

再往前看，2017年的WannaCry蠕虫病毒横扫150多个国家，英国国家医疗服务体系NHS受影响最严重，大量手术和门诊被取消。这个病毒利用的是美国国家安全局泄露的“永恒之蓝”漏洞工具。讽刺的是，一个用来攻击别人的工具泄露后，反噬了自家盟友的公共医疗系统。这件事之后，很多国家才开始认真推操作系统补丁管理，但推得很慢，因为老旧系统动不了——医院里那些跑Windows XP的医疗设备，换一台的成本比中毒后的损失还高。

供应链攻击是另一个越来越明显的趋势。2020年SolarWinds事件，攻击者入侵了这家IT管理软件厂商的更新服务器，把后门塞进了正常更新的代码里。18000多家客户下载了带毒的更新，包括美国多个政府部门和财富500强企业。你信任你的软件供应商，但供应商的代码被篡改了，你根本防不住。这种攻击的可怕之处在于，它绕过了你所有的边界防御。

观察这些案例，有个共同点：攻击者不追求技术上的炫技，他们找的是最省力的路径。弱口令、未打补丁的系统、没有隔离的网络、缺乏核实流程的员工——这些“低级”问题反复出现在重大事件里。安全圈有个说法叫“攻击面管理”，但很多时候，企业连自己有哪些资产都没搞清楚。影子IT、遗忘的测试服务器、离职员工没注销的账号，全是洞。

国内这几年推等级保护和关基保护，合规压力上来了，但合规不等于安全。我见过一些企业，等保测评过了，但内网里一台挖矿木马跑了三个月没人发现。测评查的是配置项，攻击者走的是另一条路。真正的差距在运营：有没有人盯着日志，有没有能力做应急响应，出事之后能不能快速定位和恢复。

个人层面也一样。很多人觉得“我又不是目标”，但撞库、钓鱼、短信劫持这些攻击是批量进行的，你只是恰好用了和其他网站一样的密码，恰好点了一封看起来像快递通知的邮件。2023年国内某地警方破获的盗号团伙，手里有上亿条账号密码，都是早年各种网站泄露后攒起来的。他们不需要黑进你的手机，只需要拿旧密码去新网站试一遍。

网络安全这件事，没有一劳永逸的方案。技术、流程、人，三个环节都得盯住，而且得持续盯。攻击者在进化，你的防御如果停在某个时间点，就等于没防。那些出事的案例，回头看，几乎都能找到被忽略的预警信号——一个异常登录、一次可疑的邮件转发规则、一个不该开放的端口。问题不是没有信号，是没人看。