去年秋天，网络一家中型企业的安全财务人员收到一封“老板”发来的邮件，要求紧急转账58万元。培训邮件语气、网络签名、安全甚至头像都跟真老板一模一样。培训她没多想就操作了。网络钱转出去半小时后，安全真老板打来电话问“那笔款怎么还没到”，培训她才发现邮箱被黑了。网络这58万最后只追回不到7万。安全事后调查发现，培训问题出在她三个月前点开过一个“会议邀请”链接，网络输入了邮箱密码。安全就这么简单。培训

很多人觉得网络安全离自己很远，那是IT部门的事。可攻击者从来不挑目标大小，只挑漏洞。你手机里存着客户名单、公司VPN账号、甚至各种系统后台的登录信息。一旦被拿走，损失不是“换个密码”就能解决的。

培训里最常被忽略的，其实是密码管理。我见过有人用“公司名+123”登录邮箱，用了六年没换过。也见过把密码写在便利贴上，贴在显示器边框。攻击者拿到一个密码，会去试你的微信、钉钉、网银。因为他们知道，人懒起来，一个密码走天下。所以第一件事：重要账号必须单独设密码，长度超过12位，大小写加数字加符号。别用生日、手机号、名字拼音。记不住就用密码管理器，或者用一句只有你知道的话来变形，比如“我家猫2018年吃鱼吐了”变成“WjM2018nCYTl”。

第二件事，别乱点链接。钓鱼邮件现在做得越来越真。我见过一封冒充“人力资源部”的邮件，标题是“关于2024年薪资调整通知”，附件是个Excel，打开就弹窗让你输邮箱密码。你输完，页面跳转到公司内网首页，看起来一切正常。但你的密码已经发到攻击者服务器了。判断方法很简单：把鼠标悬停在链接上，看左下角显示的网址是不是跟文字一致。不一致就别点。附件如果是exe、scr、或者带宏的docm，直接删。公司不会通过邮件让你“紧急验证账号”。

第三，公共Wi-Fi别用来登录内部系统。咖啡厅、机场、酒店大堂的免费网络，攻击者可以架一个同名热点，你连上后所有流量都从他那里过。哪怕你访问的是https网站，他也能通过DNS欺骗把你引到假登录页。真要处理工作，用手机热点，或者连公司VPN。VPN不是万能的，但至少把风险从“裸奔”降到“穿件衣服”。

还有一点，很多人不注意：离开工位要锁屏。Windows按Win+L，Mac按Control+Command+Q。我见过一个真实案例，某公司销售去上厕所，电脑没锁，同事（或者访客）用他账号给所有客户群发了一封“我司账户变更通知”。第二天客户打电话来问“你们是不是要倒闭了”，他才发现。锁屏这个动作，两秒钟，能挡住90%的物理接触攻击。

最后说一个容易被忽略的：软件更新。不是让你每次弹窗都点“稍后”。浏览器、办公软件、PDF阅读器、甚至输入法，漏洞补丁往往就藏在那些更新里。攻击者最喜欢没打补丁的旧版本Chrome，因为漏洞利用代码已经公开了。你拖一个月不更新，就等于把门开着。设置成自动更新，重启一下的事。

培训不是听完就完了。我建议你今天就做三件事：改掉一个重复使用的密码；检查邮箱里最近十封邮件，看有没有可疑链接；把电脑设成5分钟自动锁屏。这三件事花不了十分钟，但能让你从“容易得手的目标”变成“有点麻烦的目标”。攻击者也是要算成本的，你稍微硬一点，他就换人了。