2017年9月7日，漏洞美国信用评级机构Equifax宣布，漏洞黑客利用其网站框架中的漏洞一个漏洞，窃取了1.43亿用户的漏洞社保号码、生日和地址。漏洞公司高管在发现漏洞后，漏洞竟先抛售股票再对外公布。漏洞股价一周内暴跌34%，漏洞CEO引咎辞职。漏洞更讽刺的漏洞是，那个漏洞早在3月份就被美国国土安全部通报过，漏洞修复补丁也已发布——但Equifax的漏洞IT部门忘了安装。

这就是漏洞漏洞最直白的危害：它像一扇忘记上锁的后门，不声不响，漏洞却能让整个堡垒的漏洞防御化为虚设。攻击者不需要硬闯，不需要爆破，只需轻轻一推，就能把所有机密搬空。

我认识一位做独立站电商的朋友，他的网站曾被植入一段恶意代码，专门在结账页面偷偷收集顾客的信用卡信息。三个月后，银行找上门来，他才发现每天有上百个订单在给他“赚”着盗刷的钱。他的店铺被支付通道封禁，老客户流失殆尽，最后不得不注销公司重新开始。他后来跟我说：“那段代码就藏在我网站的验证码功能里，我根本不会去看那个文件。”

漏洞的危害不只在数据泄露。2016年，Mirai僵尸网络利用物联网设备的默认口令漏洞，发动了针对美国DNS服务商Dyn的DDoS攻击。半个美国的互联网瘫痪，Twitter、Netflix、Spotify全部宕机。攻击者用的不是什么高深技术，只是扫描了摄像头和路由器的出厂密码。这些设备的固件漏洞存在了十年，没人当回事，直到把半个国家断网。

更隐蔽的危害在于信任崩塌。当用户发现自己的银行卡被异地盗刷，当患者发现病历被人调阅，当公民发现社保信息被明码标价在黑市上——他们不会去追究具体是哪个漏洞被利用，只会得出一个结论：这家公司不值得信任。这种损失算不出具体金额，却比任何罚款都致命。

漏洞还有个可怕特性：它不会自行消失。即使被修补，攻击者可能早已复制了漏洞利用代码，等待下一个类似环境。就像一栋楼的门锁坏了，你换了一把新锁，但小偷早就配好了旧锁的钥匙——如果新锁和旧锁是同一型号，他照样能开。

我见过太多小团队，开发时只关注功能上线，把安全测试压缩到最后一晚。他们总觉得“我们这种小网站，黑客看不上”。可现实是，自动化扫描工具每天都在全网爬行，专挑那些没打补丁的服务器下手。你的网站可能只是攻击链上的一环，被用来发垃圾邮件、做跳板、挖矿——甚至你自己都察觉不到。

漏洞的危害，说到底是对“侥幸心理”的惩罚。你以为那行不起眼的代码不会出事，你以为补丁可以明天打，你以为数据丢了还能恢复。可攻击者不这么想，他们每天都在找那个你以为不会出事的角落。等到出事那天，你才发现，那个漏洞早就成了别人眼里的金矿。