别等被黑了才看这份PPT

去年有个做外贸的网络朋友，点开了一封“客户”发来的安全报价单。附件是知识个.xlsx文件，打开后什么都没发生。培训三天后，网络公司账户里的安全十七万美金没了。那文件里藏着宏病毒，知识悄悄装了个键盘记录器。培训他后来跟我说，网络这辈子第一次觉得“网络安全”四个字这么贵。安全

这类事每天都在发生。知识你觉得自己没什么值得被黑的培训？错了。攻击者要的网络不是你的存款，是安全你的电脑当跳板、你的知识邮箱发钓鱼信、你的通讯录当资源。普通人才是最好用的“肉鸡”。

密码这件事，别耍小聪明

“P@ssw0rd!”这种密码，破解软件三秒跑完。很多人喜欢用生日+名字缩写，觉得够复杂了。但社工库一撞，全露馅。真正管用的办法就两条：要么用密码管理器生成一长串随机字符，要么用一句只有你知道的话——比如“楼下煎饼果子加俩蛋不要葱”——取首字母加符号，变成“LxJbGzJLDbYc!”。长，好记，暴力破解得跑到宇宙热寂。

还有个事：别在所有网站用同一个密码。一个论坛被拖库，你的邮箱、网银、社交账号全完蛋。这叫“撞库”，黑客根本不用动脑子。

钓鱼邮件比你想象的精致

以前钓鱼邮件满篇错别字，现在不是了。攻击者会翻你领英、微博、朋友圈，知道你跟谁有业务往来，知道你最近在忙什么项目。然后伪造一封“合作方财务”的邮件，语气、签名、甚至回复链都做得天衣无缝。

怎么防？记住一个死规矩：凡是让你点链接、下附件、输密码的邮件，一律通过另一个渠道核实。微信问一句、打个电话，十秒钟的事。别嫌麻烦，你嫌麻烦，黑客就不嫌麻烦。

公共Wi-Fi是别人的地盘

咖啡厅、机场、酒店大堂的免费Wi-Fi，你连上去的那一刻，流量就经过别人的路由器。有人架个假热点叫“Starbucks_Free”，你连了，所有没加密的通信——HTTP网页、未加密的聊天——全被看得清清楚楚。更狠的会做ARP欺骗，把你引到伪造的登录页。

非要用公共Wi-Fi？开手机热点，或者挂个靠谱的VPN。别在公共网络上登网银、输公司系统密码。这点流量钱，比出事后的损失便宜太多。

更新，更新，还是更新

很多人看到系统更新提示就点“稍后”。那个“稍后”可能永远不来。WannaCry勒索病毒爆发时，微软其实早在两个月前就发了补丁。中招的全是没更新的机器。医院、学校、企业的内网瘫成一片，屏幕上红字跳着“付300美元比特币”。

浏览器、插件、办公软件、手机系统，全都要更新。攻击者最喜欢旧版本里的已知漏洞，因为利用代码网上到处都是，拿过来就能用。你懒，他就赚。

最后说个真事

某公司安全部门做了一次内部钓鱼测试。发了一封“年终奖发放通知”的邮件，附了个链接。点开的人超过六成。其中还包括三个IT部门的员工。人不是不懂安全，是看到“年终奖”三个字就忘了安全。

安全不是技术问题，是习惯问题。你不需要成为专家，只需要比隔壁工位那个点“允许宏运行”的人多留个心眼。攻击者找的是最容易的那扇门。别做那扇门。

这份PPT不用背，记住三句话就行：密码长且不重复，链接附件先核实，系统更新别拖延。剩下的，交给时间和运气——但运气这东西，最好别指望。