去年某地一家连锁酒店的互联护求前台电脑被入侵，攻击者没碰房费系统，网安而是全防把住客的身份证号、手机号全拖走了。互联护求事后查原因，网安那台电脑的全防操作系统还是Windows 7，杀毒软件过期两年，互联护求前台员工图省事，网安把系统更新提示直接点了“稍后提醒”——这一稍后，全防就是互联护求七百多天。这种事听上去离谱，网安但在中小企业和普通家庭里，全防几乎是互联护求常态。

互联网安全的网安第一道口子，往往不是全防被黑客用多高级的漏洞撬开的，而是自己忘了关窗。操作系统和常用软件的补丁更新，就是那扇窗。微软、苹果、谷歌每个月都在推安全补丁，可很多人看到弹窗就烦。我自己的习惯是每周五下午花十分钟统一更新，重启一次，不耽误事。手机也一样，安卓和iOS的更新别总拖着，尤其是涉及基带和浏览器的补丁。

密码这件事，说烂了还是有人用“123456”。更麻烦的是撞库——你在A网站泄露的密码，被人拿去试你的邮箱、网银、社交账号。我的做法是：重要账户（邮箱、银行、支付）用完全独立的强密码，并且开启两步验证。两步验证现在几乎都支持，短信验证码虽然不算最安全，但比没有强太多。别嫌麻烦，真被盗了更麻烦。

公共Wi-Fi是另一个重灾区。咖啡厅、机场、酒店大堂的免费网络，你很难判断它是不是有人架设的钓鱼热点。即便不是钓鱼，同一网络下如果有人抓包，未加密的流量就是裸奔。我出门在外，手机流量够用就用流量，需要传敏感文件时，宁可开热点给笔记本。如果非要用公共Wi-Fi，至少确保访问的网站是HTTPS，别在那上面登录网银。

钓鱼邮件和短信现在做得越来越像真的。上周我收到一条“ETC失效”的短信，点进去的页面几乎复刻了官方界面，唯一破绽是域名多了个后缀。这种时候别急着点，把鼠标悬停在链接上看一眼真实地址，或者干脆从官方App里进。企业里更得注意，财务、HR这些岗位是重点靶子，一封伪造的“老板要转账”邮件就能骗走几十万。定期给员工做钓鱼测试，比事后报警有用。

数据备份是最后一道防线。勒索病毒这两年不像前几年那么猖狂，但没消失。中了勒索病毒，交赎金也不一定能解密，但如果你有离线备份，直接格式化重装就行。备份要遵循“3-2-1”原则：三份数据，两种介质，一份放异地。个人用户最简单的方案：重要文件放移动硬盘一份，再传一份到靠谱的云盘。企业的话，本地NAS加云存储，定期做恢复演练——没恢复过的备份不算备份。

还有件事容易被忽略：路由器。很多人家里路由器买来就没改过默认密码，固件也没升过级。攻击者进了路由器，就能改DNS、劫持流量。登录路由器后台，把默认管理员密码改掉，关闭WPS和远程管理，固件有更新就升。企业网络更得划分VLAN，别让访客网络和内部办公网络混在一起。

安全这件事没有一劳永逸。攻击手法在变，你的防护也得跟着调。但核心就那么几条：补丁打上，密码管好，两步验证开着，不明链接别点，备份做好。做到这些，你已经比绝大多数人安全了。剩下的，就是保持一点警惕心——别总觉得“轮不到我”。