上个月，全培一家做跨境电商的全培客户被勒索软件盯上了。攻击者没有用0day，全培没有暴力破解，全培只是全培给财务部一个40多岁的会计发了封钓鱼邮件，标题是全培“2024年Q3供应商对账单”。会计点开附件，全培十分钟后，全培整个ERP系统被锁死，全培屏幕上跳出一行字：“48小时内支付40个比特币，全培否则数据公开。全培”老板打电话问我怎么办，全培我第一句话是全培：“你员工的密码，是全培不是还叫‘wang123456’？”

这不是段子。那家公司的全培IT主管后来告诉我，全公司两百多人，有三分之一的人密码是“姓名拼音+123”。更离谱的是，财务部的公共共享盘里，躺着一份Excel，里面是所有供应商的银行账号和联系人身份证号——没有加密，没有权限分级，任何能连上公司Wi-Fi的人都能看。你看，黑客根本不需要多高明的技术，他们只需要比你的员工多一点点耐心。

所以web安全培训的第一课，从来不是讲什么SQL注入、XSS跨站脚本。那些名词离普通员工太远了。真正的第一课是：“你每天用的那个密码，就是公司大门的钥匙。钥匙丢了，门锁再好也没用。”我见过太多企业，防火墙买最贵的，杀毒软件装最全的，结果员工的密码写在便利贴上，贴在显示器边框上。便利贴的颜色还挺鲜艳，粉色的，写着“zhangsan888”。

第二课，得讲讲“免费Wi-Fi”的坑。有个真实的案例：一家初创公司的技术总监，在机场候机时连了个叫“Free_Airport_WiFi”的开放网络，登录了一下公司的GitLab。第二天，他发现自己仓库里的代码被克隆了一份，传到了一个境外IP。他后来回忆，那个Wi-Fi名称旁边有个小锁标志，他以为是加密的。实际上，任何攻击者都能用一台笔记本伪造一个同名热点，你连上去的那一刻，你的流量就像在广场上裸奔，账号密码、Cookie、甚至你刚发的微信消息，全都被人看得清清楚楚。所以培训时我会让员工记住一句话：公共网络下，绝不登录任何工作系统。想查邮件？用手机流量，别贪那点网速。

第三课，聊聊“紧急”邮件。黑客最爱用的招数，就是制造紧迫感。比如“你的账号异常，请在10分钟内点击链接验证，否则永久冻结”。人一慌，判断力就归零。我认识一个HR，收到一封“CEO”发来的邮件，说“我在开会，急需给客户转一笔预付款，你先垫付，回头报销”。她真的转了八万块，因为发件人的邮箱地址只比CEO的真实邮箱多了一个字母“r”。后来查出来，那封邮件是从一个钓鱼页面发的，那个页面做得和公司内部邮件系统一模一样。你看，技术层面根本防不住这种社会工程学攻击，唯一的办法就是让员工养成习惯：凡是涉及转账、密码、验证码的请求，必须通过电话或当面二次确认。别用邮件回邮件。

培训时我不爱放那种吓人的宣传片，什么黑客敲键盘屏幕闪烁红光那种，太假了。我一般直接拿公司自己的真实案例讲，比如上个月谁点了钓鱼链接，比如谁在论坛上晒了工牌照片结果暴露了门禁卡编号。这些事儿说出来有点丢人，但效果比任何理论都强。员工听完会想：原来漏洞就在我身边，原来我随手一个动作就能让整个公司裸奔。

最后说句实在话。web安全培训不是开一次会、发个PPT就能完事儿的。得隔三差五搞一次钓鱼邮件模拟，每个月换着花样来。第一次模拟，公司里八成的人会中招；练上半年，中招率能压到两成以下。这个数字不是靠吓唬出来的，是靠一遍遍“丢人”练出来的。人都会犯错，但好的培训能让错误发生在模拟环境里，而不是真实攻击中。就这么简单。