去年秋天，校园某高校大二学生李然在图书馆连上Wi-Fi后，网络手机突然弹出一条“校园网认证过期，安全案例请重新登录”的事件提示。页面和学校统一认证界面几乎一模一样，校园他顺手输入了学号和密码。网络三分钟后，安全案例他的事件校园邮箱开始向通讯录里所有人群发借款邮件，附带一个陌生二维码。校园等李然反应过来，网络已经有七位同学扫码转账，安全案例合计损失四千多元。事件

这不是校园孤例。我后来跟学校信息中心的网络一位老师聊过，他说光是安全案例上学期，类似钓鱼攻击就发生了十几起。手法并不高明，但命中率不低。原因很简单——学生太习惯“连上就用”的校园网环境了。那个伪造页面甚至连域名都只是把“edu.cn”换成了“edn.cn”，肉眼扫一眼根本看不出区别。

校园网络安全的脆弱点，往往不在技术层面，而在人的操作习惯上。教学楼里那台供学生自助打印的公用电脑，我见过有人用完不退出微信，下一个人坐下就能直接翻聊天记录。机房里的教师机，密码常年是“admin123”，因为“改复杂了记不住”。这些细节听起来像段子，但每一条都是真实存在的入口。

更隐蔽的风险藏在“共享”这件事上。宿舍里几个人合用一个路由器，有人为了图方便，把Wi-Fi密码设成“12345678”，还开了WPS一键连接。隔壁寝室的人蹭网是小事，万一有人利用局域网ARP欺骗截获数据包，你登录知网、提交作业的账号密码，在同一个网络里就是裸奔状态。我认识一个计算机社团的学长，他做过一次实验：在宿舍楼里用一台普通笔记本跑抓包工具，两小时内捕获了四十多个未加密的登录请求。他没有恶意使用，但这个数字本身就够吓人了。

学校层面当然有防护。防火墙、入侵检测、上网行为管理，该上的设备都上了。但安全策略越严格，用户体验就越差，于是总有人想办法绕过去。比如为了访问某些被限制的网站，学生会去搜“校园网破解教程”，下载来路不明的代理工具。那些工具里捆绑了什么，没人知道。信息中心的老师跟我说过一句话：“我们封掉一个漏洞，学生自己又打开三个。”

还有一个容易被忽略的角落：废旧设备处理。毕业季的时候，宿舍楼下堆着不少被丢弃的U盘、旧手机、甚至整台台式机。硬盘不格式化就直接扔，里面的学号、身份证照片、论文初稿，谁捡到是谁的。我亲眼见过一个收废品的大爷，从一台旧笔记本里翻出一份完整的班级通讯录，上面连家庭住址都有。

说回李然那件事。后来查清楚了，钓鱼页面是校外人员架设的，租了境外服务器，专门针对几所高校的校园网认证系统做了仿冒。人没抓到，钱也没追回来。学校发了一封安全提醒邮件，但据我所知，之后还是有学生点过类似链接。人总是觉得“这种事不会轮到我”，直到它真的轮到你。

校园网的安全，说到底不是装几个安全软件就能解决的。它更像一种集体习惯——你随手锁屏，我定期改密码，他不用来路不明的代理。这些动作很小，但加起来就是一道真实的防线。反过来，任何一个人图省事，整张网就可能被撕开一个口子。李然到现在还在用那个被泄露过的密码，他说“懒得改，反正也没什么重要东西”。我听完没说话，只是把自己的密码又换了一遍。