凌晨三点，漏洞窃某安全论坛上有人贴出一段代码。漏洞窃不是漏洞窃攻击脚本，不是漏洞窃0day，只是漏洞窃一段日志——记录了某个系统在十二秒内被反复试探的过程。发帖人问：“谁能看出问题？漏洞窃”没人回答。第二天，漏洞窃那个系统所在的漏洞窃金融机构发了个公告：客户数据遭遇未授权访问。
漏洞窃取从来不是漏洞窃电影里那种黑入大屏幕的炫技。它更像一场耐心的漏洞窃钓鱼。攻击者先扫描，漏洞窃像小偷踩点，漏洞窃摸清哪扇窗没锁。漏洞窃然后发一封伪装成快递通知的漏洞窃邮件，附件里藏了宏病毒。漏洞窃有人点了，内网就开了个口子。整个过程可能持续数周，而受害者往往直到数据被拖走，才发现自己早已被掏空。
我认识一个白帽子，他管这叫“信息时代的入室盗窃”。区别在于，现实中的贼会留下脚印，网络里的贼能抹掉一切痕迹。他曾经追踪过一个漏洞利用链——从某个老旧的路由器固件开始，逐步跳进企业的云服务器。那个路由器是五年前的型号，早已停止更新，但还在机房里默默运转。没人记得它，可它成了整个链条的第一环。
漏洞的本质是什么？是代码里一个没被发现的错误判断。但窃取漏洞的行为，却往往发生在人的疏忽里。有个案例特别典型：某公司程序员把数据库备份上传到公开的GitHub仓库，本意是方便自己下载，结果忘了删除。三天后，有人用自动化脚本扫描公开仓库，发现了这个备份。整个数据库被拉走，公司直到客户投诉才反应过来。
这类事让我想起一个词——“数字时代的疏忽成本”。漏洞本身不致命，致命的是没人认为它会被利用。就像你家里装了防盗门，但窗户常年开着，你觉得没人会爬那么高。可攻击者恰恰擅长爬墙，而且他们还会互相分享爬墙技巧。
更让人不安的是，漏洞窃取已经形成产业链。有人专门挖洞，有人专门写利用工具，有人专门负责变现。暗网上的数据价格明码标价：信用卡信息几美元一条，医疗记录几十美元，企业核心数据则按GB计价。这种分工让攻击变得廉价而高效。一个只会写基本脚本的菜鸟，也能从“教学帖”里学会怎么利用现成漏洞。
回到开头那个案例。后来有人复盘发现，那段日志里的试探其实是个已知漏洞——CVE-2021-44228，Log4j的远程代码执行漏洞。修复补丁发布了整整三个月，但系统没更新。攻击者只是用扫描器扫了一遍，发现目标没打补丁，然后直接套用现成的利用代码。整个过程不到五分钟。
我始终觉得，漏洞窃取最讽刺的地方在于：它往往不需要多高深的技术，只需要你足够懒。懒得更新，懒得检查，懒得设置强密码。而攻击者恰好利用这份懒惰，把一个个看似无关紧要的疏忽，串成一条通往核心数据的链。技术是死的，人是活的——这句话在安全领域，从来不是褒义。