内容摘要：去年冬天，我一位做独立开发的朋友差点丢了整个项目。攻击者没用什么高深漏洞，只是猜中了他路由器后台的默认密码，然后顺藤摸瓜进了他用来跑测试的旧笔记本。那台机器上存着数据库密钥。前后不到四十分钟，服务器就

去年冬天，防止我一位做独立开发的黑客朋友差点丢了整个项目。攻击者没用什么高深漏洞，入侵只是防止猜中了他路由器后台的默认密码，然后顺藤摸瓜进了他用来跑测试的黑客旧笔记本。那台机器上存着数据库密钥。入侵前后不到四十分钟，防止服务器就被挂了勒索信。黑客他后来跟我说，入侵最讽刺的防止是，那台笔记本他平时只用来听歌。黑客

这种事每天都在发生。入侵黑客不是防止电影里那种对着黑屏敲绿字的怪人。他们更像小偷，黑客挨个拉车门，入侵找没锁的那辆。你不需要变成安全专家，但得把车门锁上。

密码这件事，别偷懒

我见过太多人用“姓名拼音+123”走天下。2023年某安全团队发布的报告里，排名前十的泄露密码中，“123456”依然稳居第一。攻击者手里有字典库，跑一遍常用密码组合，几秒钟的事。

正确的做法是：每个重要账户用不同密码。记不住？用密码管理器。Bitwarden、1Password都行，甚至浏览器自带的也行。你只需要记住一个主密码。别用生日、手机号、宠物名。我自己的习惯是让管理器生成16位随机串，连我都不知道是什么。

两步验证（2FA）必须开。就算密码泄露了，对方没有你手机上的动态码也进不去。优先选验证器App（比如Google Authenticator或Authy），比短信验证码安全——短信能被SIM卡劫持。

软件更新不是骚扰

每次弹窗让你更新系统、浏览器、路由器固件，你是不是习惯性点“稍后”？那些更新里往往包含刚修补的安全漏洞。黑客最喜欢打时间差：厂商发布补丁，他们立刻写利用工具，专门扫那些没更新的机器。

WannaCry勒索病毒爆发时，微软其实在两个月前就发了补丁。中招的全是没更新的Windows机器。医院、学校、企业，一片瘫痪。手动点一下“立即重启”，能省掉后面无数麻烦。

路由器固件也别忘了。很多人从装上路由器那天起就没碰过它。登录后台看看有没有“固件升级”选项。顺便把默认管理员密码改掉——admin/admin这种组合，扫描器一秒就能试出来。

公共Wi-Fi和钓鱼链接

咖啡厅、机场、酒店的免费Wi-Fi，别用来登网银或公司系统。同一网络下，攻击者可以用简单工具截获未加密的数据。非要用的話，挂个靠谱的VPN。或者直接用手机热点，流量费比数据泄露便宜多了。

钓鱼邮件现在做得越来越真。上周我收到一封“公司IT部”的邮件，说邮箱容量已满，点链接扩容。发件人地址只差一个字母。鼠标悬停在链接上，实际域名是乱码。这种邮件每天几百万封地发，总有人上钩。

养成习惯：不点邮件里的链接，尤其是让你输入密码的。直接去官网或App里操作。附件是.exe、.scr、.js结尾的，直接删。就算是.docx或.pdf，也可能藏宏病毒。

备份，备份，还是备份

我那位朋友最后没付赎金。因为他半年前做过一次全量备份，虽然丢了些近期数据，但项目保住了。备份要遵循“3-2-1”原则：3份拷贝，2种不同介质，1份放在异地。移动硬盘、云存储、NAS，组合着来。

但注意：备份硬盘别一直插在电脑上。勒索病毒会加密所有能访问到的驱动器。备份完就拔掉，或者用支持版本历史的云备份服务。

安全这件事没有终点。攻击手法在变，你的防御也得跟着动。但上面这几条做到位，能挡掉九成以上的常见攻击。黑客也是要算成本的，你这扇门够结实，他们就换隔壁那家了。