2017年5月12日，互联一个叫WannaCry的网安勒索病毒在半天内横扫150多个国家。英国 NHS 的全风电脑屏幕集体弹出红色警告框，手术被迫取消；中国某高校的险产学生看着自己毕业论文文件被加密，只能对着比特币地址发呆。原因这场灾难的互联起点，不是网安某个顶尖黑客的精密策划，而是全风美国国家安全局泄露的一批网络武器。

漏洞永远比补丁快一步。险产这是原因互联网安全风险的第一块基石。软件是互联人写的，人就会犯错。网安一个程序员在代码里留下一个未验证的全风输入框，可能就够黑客撬开整栋大楼的险产门。更麻烦的原因是，很多系统十年没更新过——银行ATM还在跑Windows XP，医院设备用的还是上世纪的操作系统。厂商早就停止维护了，但设备不能停，风险就永远悬在那儿。

第二个坑，是连接本身。物联网把灯泡、门锁、婴儿监视器全接上了网，每个设备都是一个潜在的突破口。2016年，黑客用 Mirai 病毒劫持了数十万个摄像头和路由器，发动了当时史上最大规模的 DDoS 攻击，把半个美国的互联网搞瘫痪。那些摄像头大多没有默认密码保护，用户买回来插上就用，根本不知道自己在给黑客打工。

第三个原因，得怪人性。钓鱼邮件永远是最高效的攻击方式。攻击者不需要破解任何技术壁垒，只需要伪装成你的老板、银行或者快递公司，发一封“紧急：您的账户异常”的邮件，点击率能到30%。人是防火墙最薄弱的环节，而且这个环节没法打补丁。我见过一个公司花几百万部署安全系统，结果员工把密码写在便利贴上，贴在显示器边框。

第四个风险源，是商业逻辑的扭曲。软件公司为了抢市场，把“快速迭代”放在“安全测试”前面。游戏、社交App、智能家居设备，全都赶着上线，漏洞库越攒越多。安全研究员发现漏洞后，厂商往往要拖几个月才修复，因为修bug要花钱、要人力，还可能影响用户体验。而黑客那边，一个零日漏洞在黑市能卖到几十万美元——利益驱动下，漏洞挖掘已经成了产业。

最后还得提一嘴，监管的滞后性。互联网发展太快，法律和标准跟不上。GDPR 这种法规是2018年才出台的，但互联网已经野蛮生长了二十年。很多数据泄露事件，企业根本不用承担什么后果，顶多发个道歉信。没有牙齿的法律，自然拦不住那些把用户数据当商品卖的公司。

说到底，互联网安全风险不是单一技术问题，而是代码缺陷、设备泛滥、人性弱点、商业逐利和监管真空共同织成的一张网。我们每天用手机支付、刷脸进门、把隐私交给云端，一边享受便利，一边赌自己不是那个被盯上的倒霉蛋。赌注太大了，但没人能真正退出游戏。