2017年，网络Equifax公司的安全案例数据库被黑客捅穿，1.43亿美国人的漏洞姓名、社保号、网络生日、安全案例地址全被拖走。漏洞这不是网络什么高深攻击，漏洞就藏在一个开源组件的安全案例未打补丁版本里。事后调查发现，漏洞该公司IT部门早在3月就收到了相关安全通告，网络但没人去管那条推送通知。安全案例整整两个月，漏洞大门敞着，网络黑客从容进出。安全案例

这事儿让我想起一个更早的漏洞案例。2014年，一家电商平台被拖库，黑客用的居然是最原始的SQL注入——在登录框里输入一段“万能密码”，系统就直接放行了。开发者把用户输入直接拼进SQL语句，连个参数化查询都没做。这种错误在教科书里被反复警告，可现实中依然到处都是。我见过不少小公司的代码库，能跑就行，安全？那是大厂才考虑的事。

但最讽刺的漏洞往往出在“人”身上。2016年，某银行内部员工收到一封钓鱼邮件，标题写着“薪资调整通知”。他点开附件，几秒钟内，恶意程序就顺着内网爬到了核心数据库。防火墙再坚固，也挡不住一次好奇的点击。后来调查发现，该银行每年都做安全意识培训，但培训内容全是PPT念稿，员工听完就忘，连钓鱼邮件长什么样都记不清。

漏洞不只是技术缺陷，更是管理惰性。很多企业把安全预算花在买昂贵设备上，却连最基本的漏洞扫描都不定期做。我认识一位渗透测试工程师，他说自己接过的项目里，七成以上存在“弱口令”问题——admin/admin123这种组合，在2023年了依然能登录生产系统。这哪是黑客技术高超？分明是管理员自己把钥匙挂在门口。

还有个容易被忽略的细节：第三方供应链。2020年，某知名软件公司的更新服务器被入侵，黑客往正常更新包里塞了后门。所有装了该软件的用户，一夜之间全部中招。这比直接攻击某个目标高效得多——你攻破一家，等于攻破了成千上万家下游企业。很多公司只顾自扫门前雪，对上游供应商的安全状况一无所知。

说到底，网络安全没有一劳永逸的解法。漏洞就像漏水的水管，今天补好这一处，明天可能从另一处渗出来。我见过最有效的防御，反而是那些愿意承认“自己一定会被攻破”的公司——他们做备份、做隔离、做应急演练，真出事时能快速止损。反倒是那些吹嘘自己“绝对安全”的企业，一旦被攻破，往往连恢复数据的能力都没有。

别指望技术能解决所有问题。代码是人写的，系统是人配的，邮件是人点的。只要人还在犯错，漏洞就永远存在。你能做的，不过是别让自己成为那个最容易被利用的环节。

(责任编辑：焦点)