2023年3月，企业某中型制造企业的网络财务系统被加密锁死，屏幕上一行俄文提示：想恢复数据，安全支付45个比特币。企业IT部门查了三天，网络发现入侵入口是安全一台前台接待用的Windows 7电脑——它连着内网，密码是企业“admin123”。攻击者从这台机器横向移动，网络最终拿到了域控权限。安全停工一周，企业直接损失超过600万。网络这家企业后来复盘，安全发现他们连最基础的企业网络分段都没做。

这不是网络孤例。我见过太多老板把网络安全当成“买几台防火墙就完事”的安全差事。实际上，防火墙只能挡住已知的、从外部发起的笨拙扫描。真正要命的是那些藏在邮件附件里的宏病毒、伪装成供应商的钓鱼链接、甚至离职员工留下的后门账号。这些东西防火墙看不见，杀毒软件可能也认不出来。

有人觉得小公司没人盯上。错了。攻击者现在用自动化工具批量扫描全网IP，只要你的服务器暴露在公网上，不管你是世界500强还是街边打印店，都会被试探。我认识一个做跨境电商的团队，一共12个人，服务器被挖矿木马入侵，CPU跑满，网站打开要8秒，订单掉了四成。他们后来查日志，发现攻击来自一个专门扫描WordPress漏洞的僵尸网络——那个漏洞补丁半年前就发布了，只是没人去更新。

数据泄露的代价远不止罚款。一家做医疗器械的客户，研发图纸被前员工拷走，卖给了竞争对手。他们打官司花了两年，虽然赢了，但产品上市晚了九个月，市场已经被占了大半。网络安全在这里不是防黑客，是防人。权限管理、操作审计、离职流程，这些听起来很“行政”的事，恰恰是安全链条上最容易断的一环。

技术层面，很多企业连基本的多因素认证都没开。邮箱密码泄露了，攻击者直接登录，翻遍所有往来邮件，找到财务的付款审批流程，然后伪造一封“老板要求紧急转账”的邮件。这种商业邮件诈骗（BEC）每年造成全球几十亿美元损失，比勒索软件还高。我见过最离谱的案例：财务收到“CEO”的邮件，说在开会不方便接电话，让先转80万到某个账户。财务转了。后来发现那个“CEO”的邮箱地址只差一个字母——把“m”换成了“rn”。

安全不是买一堆设备堆在那里。它是一套习惯。比如，所有系统默认拒绝外部访问，需要时再开白名单；比如，每个员工账号必须绑定手机验证码；比如，每周花十分钟看一眼安全日志里的异常登录。这些事不花钱，或者花很少的钱，但能挡住八成以上的常见攻击。

还有一点常被忽略：备份。不是那种放在同一台服务器上的“备份”，而是离线、异地、定期验证可恢复的备份。勒索软件现在会主动寻找并加密网络共享里的备份文件。我建议至少做三份：一份在本地NAS但断网，一份在云存储但开启版本控制，一份在移动硬盘里锁进保险柜。听起来麻烦，但当你被加密锁死时，能救你的只有这个。

最后说个真实观察。那些安全做得好的企业，往往不是技术最强的，而是流程最“死板”的。比如，任何新系统上线必须过安全评审，任何权限申请必须写清楚用途和期限，任何异常告警必须24小时内响应。这些规矩让人烦，但正是这种烦，让攻击者觉得“性价比太低”，转头去找更容易的目标。网络安全说到底，不是比谁更聪明，是比谁更不懒。