去年某地一家医院的网络挂号系统被勒索病毒锁死，攻击者要价比特币。安全IT部门折腾一整天，知识最后发现入侵入口是培训一名护士点开了一封伪装成“排班表”的钓鱼邮件。这种事每天都在发生，内容只不过大多数没上新闻。网络

网络安全不是安全装个杀毒软件就完事的。它更像你出门前检查有没有带钥匙——习惯成自然，知识但漏一次就麻烦。培训下面聊几个普通人最容易踩的内容坑，以及怎么绕开。网络

密码这件事，安全多数人做得不及格

“123456”连续多年蝉联全球最烂密码榜首。知识更麻烦的培训是，很多人在所有平台用同一个密码。内容一个论坛被拖库，攻击者拿着你的邮箱和密码去撞银行、撞微信、撞公司VPN，这叫“撞库”。成功率比你想象的高得多。

我自己的做法：核心账户（邮箱、银行、公司系统）用完全不同的强密码，记不住就写在一张纸上锁抽屉里——比存手机备忘录安全。普通网站用一套“一次性密码”，丢了也不心疼。两步验证能开就开，短信验证码虽然也能被拦截，但比没有强一个量级。

钓鱼邮件比你想象的精细

早年的钓鱼邮件满篇错别字，现在的不一样了。攻击者会翻你公司官网的团队介绍页，知道你的直属领导叫什么，然后冒充他发邮件：“小王，这份合同我手机打不开，你用电脑帮我看看。”附件是个带宏的Word文档，一点就中招。

识别方法不复杂：看发件人完整地址，不是看显示名。鼠标悬停在链接上，看真实域名。任何让你“紧急处理”的邮件，先停下来，通过另一个渠道（比如直接走过去问，或者打已知号码）确认。别嫌麻烦，真出事更麻烦。

公共Wi-Fi和U盘，两个老陷阱

咖啡厅的免费Wi-Fi，攻击者可以伪造一个同名热点，你连上之后所有流量都从他那儿过。不是说你刷个短视频就会被盗号，但如果你登录了公司邮箱、输了支付密码，那就是另一回事。用手机热点，或者至少别在公共Wi-Fi下做敏感操作。

U盘更直接。有人在停车场捡到U盘，出于好奇插进公司电脑，结果整个内网被植入后门。这不是段子，是真实攻击手法。来路不明的U盘，别插。公司电脑的USB口如果没封，那是管理问题，但你自己至少能做到不主动当那个“好奇的人”。

更新、备份、最小权限

系统更新弹窗很烦，但那些补丁修的是已经公开的漏洞。攻击者拿着现成的工具扫全网，你没打补丁，就等于门没锁。设个自动更新，让它半夜自己折腾去。

备份要遵循“3-2-1”原则：三份数据，两种介质，一份离线。勒索病毒最怕的就是你有离线备份——它加密你的电脑，你直接从移动硬盘恢复，攻击者拿不到钱。但注意，备份硬盘别一直插在电脑上，不然一起被加密。

权限方面，日常用普通账户，别用管理员账户上网。公司系统里，只给你工作需要的权限，多一分都别要。这不是不信任同事，是万一你的账户被攻破，损失能控制在最小范围。

网络安全说到底是一堆小习惯的叠加。没有哪一步能保证绝对安全，但每一步都让攻击者多一层麻烦。而攻击者通常挑软柿子捏——你比隔壁工位的人多注意一点，被盯上的概率就低一点。