内容摘要：上个月，我们公司内部系统被撞库攻击，泄露了三百多个客户的联系方式。事后复盘，技术团队查了三天，发现漏洞根源不在防火墙，也不在服务器配置——是运维老张离职前，把自己常用的一个测试账号留在了公共文档里，密

上个月，补齐我们公司内部系统被撞库攻击，漏洞泄露了三百多个客户的短板联系方式。事后复盘，补齐技术团队查了三天，漏洞发现漏洞根源不在防火墙，短板也不在服务器配置——是补齐运维老张离职前，把自己常用的漏洞一个测试账号留在了公共文档里，密码还是短板“zhang2023”。

这事听起来蠢得离谱，补齐但细想，漏洞几乎所有数据泄露事件都栽在这种“小坑”上。短板我们总迷信高大上的补齐安全架构，觉得装了顶级入侵检测系统、漏洞上了零信任模型就高枕无忧，短板结果往往被一个没人记得清理的旧接口、一条没人更新的默认规则、或者一个贪图方便共享的账号击穿。短板从来不在最显眼的地方，它藏在流程的缝隙里，藏在“应该没问题”的假设里。

补齐漏洞，第一步不是买工具，是承认自己不知道漏洞在哪。我见过不少公司，安全预算花了几百万，但连资产清单都列不全——哪些服务器连着外网、哪些数据库存着敏感信息、哪些第三方组件已经停止维护，没人说得清。这就像你家里装了最贵的防盗门，但后窗的锁早锈了，小偷根本不用走正门。

补短板的过程，本质上是在跟自己过去的懒惰较劲。就拿我们这次事件来说，修复方案很简单：强制所有账号启用多因素认证，每周自动扫描公共文档里的敏感信息，离职账号当天就冻结。但这些措施，半年前就该做了。为什么没做？因为没人觉得“测试账号”算风险，也没人愿意每周花两小时去翻那些陈年文档。人总是这样，对看得见的威胁如临大敌，对看不见的隐患视而不见。

更麻烦的是，短板会流动。你今天补上了测试账号的坑，明天可能发现某个外包商的API接口权限过大；你刚更新了密码策略，后天又听说某个老员工把自己账号借给了实习生。所以补齐漏洞不是一次性工程，它更像打地鼠——你得持续盯着，保持警觉。那些真正做得好的团队，靠的不是某次专项整改，而是把“查漏”变成日常习惯，像每天刷牙一样自然。

说句实在话，技术上的短板相对好补，难的是人的惰性和侥幸心理。我认识一个安全工程师，他每次上线新功能前，都会刻意用“最笨、最懒”的方式去尝试破解——比如猜弱密码、翻历史记录、找调试接口。他说，黑客不比你聪明，只是比你有耐心，愿意尝试所有你觉得“不至于”的路径。你只有把自己当成那个最没下限的攻击者，才能真正看清自己的破绽在哪里。

这次事故之后，我们定了个规矩：每个月最后一个周五，全组人花半天时间，专门干“找茬”的活——翻旧代码、查权限配置、模拟钓鱼邮件。一开始大家觉得浪费时间，后来还真揪出几个隐患，比如有个测试环境连着生产数据库，比如某个老接口没做访问频率限制。没人再抱怨了，因为谁都怕下一个“老张”留下的坑，正好被自己踩上。

补齐漏洞，说白了就是承认自己没那么完美，然后老老实实把那些不起眼的角落擦干净。别指望一步到位，也别迷信什么终极方案。漏洞永远会有，短板永远在暗处，你唯一能做的，就是保持那种“总觉得自己哪里漏了”的紧张感，然后一遍一遍去查、去补、去验证。这活儿不酷，但管用。