网络安全三字经

上个月，网络我一位做财务的安全朋友点开了一封“税务局”发来的邮件。附件是字经个压缩包，里面装着“税务稽查名单”。网络她双击运行，安全电脑蓝屏，字经三天后公司账户被转走十七万。网络警察说，安全这叫“钓鱼邮件+勒索软件”组合拳。字经她问我：我就点了一下，网络怎么钱就没了？安全

这事不复杂。网络攻击早就不靠什么高深漏洞了。字经它赌的网络是你手快、你好奇、安全你怕出事。字经三字经里讲“人之初，性本善”，搁网络安全这儿得改成：人之初，性本懒。懒得改密码，懒得看域名，懒得备份。攻击者就蹲在这些“懒得”上等你。

密码是第一道门。我见过太多人用“123456”走天下。去年某平台泄露六亿条数据，排名第一的密码还是它。你问为什么？因为好记。但攻击者拿到的叫“撞库字典”——一个邮箱配一个常用密码，批量试。你在这家用“abc123”，在那家也用它，等于把钥匙插在所有门上。我的做法很土：每个重要账户独立密码，记在纸质本子上，锁抽屉。听着原始，但比“记住所有密码”的脑力靠谱。再开个两步验证，短信或令牌都行。多花十秒，挡住九成自动化攻击。

链接是第二道坑。你收到过“ETC失效，点击认证”的短信吧？我收到过。点进去，页面跟官方一模一样，网址却是乱码加数字。这叫“仿冒站”。识别方法笨但有效：把鼠标悬停在链接上，看左下角真实地址。手机端就长按，看弹出菜单里的域名。别信页面长什么样，只信地址栏里那个点前面的字母。还有个习惯：凡是催你“立即处理”的，先放十分钟。真急事不差这十分钟，假急事十分钟后就露馅。

软件更新这事，很多人嫌烦。弹窗一关，下次再说。但攻击者最爱没打补丁的机器。2017年“永恒之蓝”勒索病毒，靠的就是Windows一个已修复的漏洞。没更新的电脑，开机就被加密。我自己的规矩：操作系统自动更新打开，浏览器和插件手动检查。尤其是Flash、Java这类老组件，能卸就卸。你不需要它们，攻击者需要。

公共WiFi是第三只眼。咖啡厅、机场、酒店大堂，连上就刷。但同一个网络里，有人开着抓包工具，你输的每个密码都从他眼前过。我的做法：手机开热点，流量够用。非要连公共的，只逛不登。看新闻可以，登网银免谈。再装个靠谱的VPN，把流量加密。别用免费VPN，那等于把钱包交给小偷保管。

备份是最后的底牌。勒索软件最狠的一招：加密你所有文件，要比特币。你没备份，只能给钱。给了也不一定解密。我见过一个设计工作室，三台电脑全中招，两年作品没了。他们后来买了移动硬盘，每周五下午自动备份，硬盘锁保险柜。这叫“3-2-1原则”：三份数据，两种介质，一份放别处。听着麻烦，但比哭强。

说回我那位财务朋友。她后来换了密码管理器，开了两步验证，邮件附件先扔沙箱跑一遍。她说：以前觉得安全是技术活，现在觉得是习惯活。对。网络安全没那么多黑客电影里的炫技。它就是每天少点一次可疑链接，多改一个弱密码，备份一次重要文件。三字经背得再熟，不如动手做一条。

你问我最管用的一招？把“以后再说”改成“现在弄完”。就这一句，值十七万。