上个月，安全我一位朋友的上网公司被勒索病毒掀了底朝天。财务部的建议老式Windows 7电脑，因为有人点开了一封“发票逾期”邮件，安全整个共享文件夹被加密，上网对方开口就要三个比特币。建议报警没用，安全数据恢复公司报价比赎金还高。上网最后他们交了钱，建议但核心客户资料还是安全丢了一部分——因为黑客拿了钱也没给完整解密工具。

这事不是上网孤例。我每天看安全日志，建议90%的安全入侵都栽在同一个坑里：人。技术漏洞能打补丁，上网但人的建议习惯改起来难。你设的密码是“abc123456”？你收到“您的账户异常”短信就点链接？你办公室的WiFi密码贴在显示器上？这些行为，等于把家门钥匙放在门口脚垫下面。

别急着反驳。先说密码。我见过太多人用同一个密码走天下，邮箱、网银、视频网站全通用。去年某视频平台泄露了上亿条账号密码，黑客拿这些数据去试网银，一试一个准。你该做的不是记一堆复杂密码，而是用密码管理器——生成随机长密码，每个网站都不一样。麻烦？是有点。但比被盗后挨个改密码、处理盗刷省心多了。

再说链接。前两天我收到一条短信，说我快递滞留，让点链接补交运费。我差点就点了——因为那阵子真买了东西。后来一查，发件人号码是+86开头的虚拟号，链接域名是“yun-express.top”这种野鸡后缀。正规快递不会用这种域名。记住一个笨办法：凡是让你输入身份证、银行卡号的链接，先别急，自己去官网或App查，别用短信里的入口。

WiFi这事更隐蔽。公共场合的免费WiFi，你以为蹭的是网，其实可能蹭的是你的账号。黑客架个假热点，名字叫“Starbucks_Free”或“Airport_WiFi”，你一连上，他就能抓你的数据包。别在公共WiFi下登录网银或邮箱，实在要用，开手机热点。别嫌流量贵——丢一次账号的代价够你买好几年流量包。

还有一类骗局专盯“贪”和“怕”。上周我邻居接到“警察”电话，说他涉嫌洗钱，要他把存款转到“安全账户”。他吓得差点照做，还好他儿子在旁边提醒了一句：真警察不会让你转账，更不会用QQ发通缉令。凡是电话里提到“安全账户”“验证资金”“保密调查”的，直接挂断，然后自己去派出所问，别回拨对方给的号码。

最后说设备更新。很多人嫌系统更新烦，老弹窗，干脆关掉自动更新。但那些补丁里，相当一部分是堵安全漏洞的。2017年“永恒之蓝”爆发时，没打补丁的电脑几乎全中招。你不需要天天追新版本，但至少把系统更新设为自动，重启一下就能防住绝大多数已知攻击。

说到底，安全不是装个杀毒软件就完事。它更像锁门、关窗、不跟陌生人说家庭住址——日常习惯而已。你不需要成为专家，只要做到：密码分开、链接慎点、公共WiFi不碰敏感操作、陌生电话多留个心眼、系统更新别拖。这五条做到，你已经比90%的人安全了。剩下的，交给运气——但运气这东西，还是别赌。