2023年秋天，网络某三甲医院的攻击信息科主任老周接到一通电话。对方自称是防范医保局工作人员，说医院的网络医保结算系统存在漏洞，需要紧急升级。攻击老周让对方发来升级包，防范安装在服务器上。网络三天后，攻击医院所有病历被加密，防范屏幕上只剩一行字：支付40个比特币，网络否则数据永久销毁。攻击

这不是防范电影情节。老周遇到的网络，是攻击典型的鱼叉式网络钓鱼配合勒索软件攻击。攻击者提前两个月就摸清了医院的防范组织架构、供应商名单、甚至老周的工作习惯。他们知道老周每周三下午要参加院务会，知道医保结算系统每月底必须完成对账。这些信息，来自医院官网的新闻稿、招标公告、以及某位员工在社交平台上晒出的工牌照片。

网络攻击早就不靠技术漏洞单点突破。它更像拼图——把散落在各处的信息碎片拼成一把钥匙。你发在朋友圈的登机牌、在论坛求助的代码片段、在招聘网站填写的技术栈，都是拼图的一块。攻击者用自动化工具把这些碎片收集起来，交叉比对，生成一份针对你个人的攻击剧本。

2021年，Colonial Pipeline输油管道被攻击，美国东海岸45%的燃油供应中断。攻击者怎么进来的？一个离职员工的旧VPN账号没注销，密码还是那串用了八年的“Summer2021!”。就这么简单。没有零日漏洞，没有量子计算机，就是一个忘记删除的账号。

防御这件事，很多人想复杂了。买最贵的防火墙，部署AI入侵检测，结果内部员工用“admin/123456”登录核心数据库。攻击者最喜欢这种——不用攻破城墙，直接走正门。

我观察到一个现象：企业愿意花几十万买安全设备，却不愿意花半天时间做员工钓鱼演练。某互联网公司做过测试，给500名员工发模拟钓鱼邮件，点击率23%。邮件内容是什么？“2023年薪资调整方案，请查收。”发件人伪装成HR总监。这封邮件甚至没用到任何技术手段，就是利用了一个人类本能：对薪资的好奇。

防御的核心不是堆设备，是改变行为习惯。密码管理器比复杂密码策略有用，双因素认证比定期改密码有用，员工能识别钓鱼邮件比买沙箱有用。这些事不酷，不高端，但管用。

技术层面也有几件必须做的事。第一，网络分段。把财务系统、研发系统、办公网络隔开。攻击者进了办公区，不该能直接跳到数据库。第二，日志留存。很多公司被攻击后查不到攻击路径，因为日志只存了7天。攻击者往往潜伏几个月，7天日志等于没有。第三，离线备份。勒索软件现在会加密备份服务器，必须有一份物理隔离的备份，比如磁带或只读光盘。

个人用户别觉得这事离你远。你家路由器固件上次更新是什么时候？智能门锁的默认密码改了吗？摄像头有没有暴露在公网？2022年，某品牌摄像头被曝出漏洞，攻击者可以实时观看画面。很多用户直到新闻出来才知道自己家的摄像头一直在直播。

网络攻击和防范，本质是成本博弈。攻击者算的是投入产出比——攻破你要花多少时间，能换多少钱。防御者要做的，是把攻击成本抬高到对方觉得不划算。不需要完美防御，只需要比隔壁那家公司更难攻破。攻击者也会挑软柿子捏。

老周的医院最后付了赎金。不是他们想付，是病历数据没有离线备份，停诊一天损失几百万。事后复盘，攻击者最初进入的入口，是一个外包保洁公司的VPN账号。那家保洁公司三年前就终止合作了，账号还在。

一个账号，四千万赎金。这就是现实。