内容摘要：2023年11月，浙江温州的陈女士收到一条“快递理赔”短信，点开链接后填写了银行卡号和验证码。三分钟后，她卡里的17万元被分五次转走。这不是什么高明攻击，就是最原始的钓鱼——但每年仍有大量用户栽在同样

2023年11月，互联浙江温州的网安陈女士收到一条“快递理赔”短信，点开链接后填写了银行卡号和验证码。全案三分钟后，例分她卡里的互联17万元被分五次转走。这不是网安什么高明攻击，就是全案最原始的钓鱼——但每年仍有大量用户栽在同样套路上。

互联网安全的例分本质，从来不是互联技术问题，而是网安人的问题。防火墙再厚，全案也挡不住有人主动把钥匙递出去。例分

一、互联钓鱼攻击：最老的网安手法，最高的全案成功率

Verizon《2023年数据泄露调查报告》显示，74%的数据泄露涉及人为因素，其中钓鱼是最主要入口。攻击者不需要攻破系统，只需要骗过一个人。

2022年，某大型互联网公司员工在GitHub上收到一条“面试邀请”，点开链接后输入了公司邮箱密码。攻击者借此进入内部代码仓库，窃取了大量核心数据。整个过程不到十分钟。事后复盘发现，钓鱼页面和真实登录页几乎一模一样，域名只差一个字母。

这类攻击的可怕之处在于：它利用的是人的信任和习惯。你每天点几十个链接，偶尔点错一个，代价可能是整个公司的数据。

二、弱密码：一个被低估的灾难

2021年，某社交平台发生大规模数据泄露，5.33亿用户信息被挂到暗网出售。调查发现，泄露原因之一是部分账户使用了“123456”这类弱密码。

更离谱的是，很多人所有平台用同一个密码。一个论坛被拖库，攻击者拿着邮箱和密码去撞其他网站，成功率极高。这叫“撞库”，不涉及任何漏洞利用，纯粹靠用户偷懒。

我自己的习惯是：重要账户用密码管理器生成随机密码，不重要的用不同组合。麻烦一点，但比事后补救省心得多。

三、供应链攻击：你信任的，未必安全

2020年12月，SolarWinds事件曝光。攻击者入侵了这家IT管理软件公司，在软件更新包中植入后门，导致包括美国多个政府部门在内的18000多家客户被渗透。

你信任一个软件，因为它来自正规厂商。但厂商本身被攻破了，你信任的链条就断了。这类攻击隐蔽性极强，因为恶意代码藏在合法更新里，杀毒软件根本不会报警。

国内也有类似案例。2022年，某npm包被植入恶意代码，下载量超过百万次。开发者只是想装个工具，结果把自己的服务器密钥全泄露出去了。

四、安全不是产品，是习惯

很多公司买最贵的防火墙，做最严格的等保测评，然后员工在工位上把密码写在便利贴上。安全投入和实际效果之间，隔着一整套人的行为。

个人能做的其实不多，但很关键：开双因素认证，别用弱密码，对陌生链接保持警惕，定期更新系统。这些听起来像老生常谈，但每次数据泄露事件追溯回去，总有一条能对上。

互联网没有绝对的安全。你只能让自己不那么容易被盯上。