上周三晚上十一点，网络我隔壁宿舍的安全老张突然砸我门。他脸色煞白，作业手机屏幕上是网络学校邮箱的界面——一封标题为“教务处紧急通知”的邮件，附带一个压缩包，安全要求他“立即解压查看”。作业他点了。网络然后他的安全QQ开始在班群里自动发色情链接。

这不是作业什么高深黑客攻击，就是网络一封钓鱼邮件加一个伪装成压缩包的木马。但老张的安全QQ密码和教务系统密码是同一个，而且他从不看邮件发件人的作业完整地址——那封邮件的域名是“jwc-gduf.net”，模仿教务处，网络但多了个“-gduf”。安全

网络安全作业，作业如果只写“要加强密码管理，不要点击可疑链接”，那跟没说一样。真正的问题是，我们这代人的数字生活像一团乱麻——社交账号、网银、校园系统、游戏平台，全用同一套密码，或者用“密码+手机号验证码”这种双因子就觉得自己无敌了。老张的密码是“zhang123456”，他用了六年。

我自己的教训也不远。大二那年我开了一个网店，为了省事，把店铺后台的登录名直接设成手机号，密码是“woaini520”。三个月后，店铺被恶意退款刷到封店。我查了登录日志，发现有人从凌晨三点开始，用密码字典试了四百多次才撞进来。不是多高明的手段，纯粹是我不设防。

有一种常见的错觉：觉得自己的账号“不值得黑”。可攻击者不这么想，他们用自动化脚本扫全网，撞库、弱口令、钓鱼，广撒网。你的账号可能不是目标，只是路过的一串数字。被拿去发垃圾广告、当跳板、甚至参与DDoS，你根本不知情。

我后来做了几件小事。一是把密码改成三组不同的，按重要性分级——网银一组，社交一组，论坛小号随便。二是开了两步验证，麻烦是麻烦点，但老张那种QQ被盗后连累全班的情况，至少能挡住大半。三是学会看链接——鼠标悬停看实际地址，别只看显示文字。

这些事听起来琐碎，但网络安全作业最该交的，不是理论，是习惯。上周我跟老张复盘，发现他电脑里还装着一个“破解版”的Photoshop，是从某个下载站下的，里面捆了挖矿脚本，CPU一直跑满。他删掉之后，风扇声都小了。

别指望防火墙和杀毒软件能兜底，它们只是最后一道篱笆。真正的前线是你自己——你的密码习惯、你的点击冲动、你对“免费软件”的贪念。老张现在把密码换成了“Gduf_2024#zhang”，虽然还是带名字，但至少多了两层障碍。他说：“要是那天晚上你不在，我可能到现在都不知道怎么弄。”我回他：“你要是早看邮件发件人，压根不用找我。”

(责任编辑：焦点)