2023年秋天，互联某三甲医院的网安信息科主任在例行巡检时发现，一台连接着CT机的重性老旧工作站正在向境外IP地址传输数据。追查下去，互联问题出在一个月前工程师为图方便留下的网安远程维护后门。那台机器里存着近三年的重性患者影像和身份信息。这事没上新闻，互联但圈内人聊起来都后怕——如果发现再晚两周，网安整个数据库可能已经被打包拖走。重性

互联网安全从来不是互联“装个杀毒软件”那么简单。它更像是网安一张漏水的网，你堵住一个洞，重性水会从另一个缝隙渗出来。互联我见过太多人把密码设成“admin123”，网安然后在所有平台重复使用。重性去年有个做自媒体的朋友，就因为一个闲置的论坛账号被撞库，连带着微博、邮箱、甚至网盘里的合同全被人翻了底朝天。攻击者甚至没用什么高深技术，只是写了个脚本，拿泄露的旧密码库挨个试了一遍。

有人觉得“我没什么值得偷的”。这种想法本身就挺危险。你的购物记录能分析消费能力，你的定位数据能还原生活轨迹，你的通讯录是诈骗团伙的精准名单。2016年雅虎那起5亿账户泄露，很多人事后才发现，自己十年前随手注册的邮箱里，存着早已遗忘的密保问题答案——而那个答案，恰好和现在的银行账户安全提问一模一样。

企业层面的情况更微妙。一家做跨境电商的创业公司，去年被勒索病毒锁了服务器。攻击入口是财务同事点开的一封“发票”邮件。对方要价2个比特币，公司咬牙付了。结果三个月后，同样的剧本又来了一遍。这次他们才请人做渗透测试，发现内网里还藏着三个没打补丁的Windows Server 2008。安全预算永远排在业务增长后面，这是很多中小公司的通病。等到出事再补，成本翻十倍不止。

技术本身也在制造新麻烦。物联网设备普及之后，我家里那台智能摄像头曾经连续三天向一个俄罗斯IP发送心跳包。固件是厂商两年前停更的版本，默认密码压根没改。后来我把它刷了开源固件，才算消停。类似的情况在智能门锁、扫地机器人、甚至儿童手表上都能复现。设备便宜了，安全投入却没跟上，最后买单的是每一个普通用户。

法律和监管在追，但永远慢半拍。欧盟的GDPR罚得狠，可数据一旦泄露，罚款也换不回隐私。国内《个人信息保护法》实施后，App过度索权的现象好了不少，可线下场景呢？商场里的Wi-Fi探针、停车场的人脸识别、公司门禁的指纹打卡——这些数据流向哪里，多数人根本不知道。我试过问一家连锁健身房他们的会员系统是否加密存储身份证号，前台一脸茫然，说“应该吧”。

说到底，互联网安全是个动态平衡。没有一劳永逸的方案，只有持续不断的对抗。个人能做的是：别用重复密码，开双因素认证，对陌生链接保持警惕。企业得把安全当成产品的一部分，而不是事后补丁。至于那些收集数据的平台，少存点、加密存、定期删——这比什么安全宣言都实在。

上周我把家里路由器的固件更新了，顺便改了默认的管理员密码。这事儿花了我七分钟。七分钟换来的，是至少不用半夜担心摄像头自己转起来。安全这事，很多时候就是顺手的事。不做，可能永远没事；做了，至少睡得踏实点。