内容摘要：上个月，我朋友老张点开一封“公司财务部”发来的邮件，附件叫《2024年薪资调整方案.xlsx》。他双击打开，Excel弹窗提示“启用宏才能查看完整内容”。他点了。三天后，公司账户少了47万。 这不是电

上个月，网络微课我朋友老张点开一封“公司财务部”发来的安全邮件，附件叫《2024年薪资调整方案.xlsx》。网络微课他双击打开，安全Excel弹窗提示“启用宏才能查看完整内容”。网络微课他点了。安全三天后，网络微课公司账户少了47万。安全

这不是网络微课电影情节。那封邮件的安全发件人地址是“finance@company.com”，只差一个字母——真正的网络微课域名是“companv.com”，字母v冒充了y。安全宏病毒在他电脑里潜伏了72小时，网络微课记录键盘输入，安全把网银U盾密码、网络微课企业OA登录凭证打包发到了境外服务器。

钓鱼邮件比你想象的更懂心理学

很多人觉得“我不会上当”。但钓鱼邮件早就不是“尼日利亚王子”那种粗劣话术了。攻击者会翻你的领英、微博、朋友圈，知道你最近在跟哪个项目、你的直属领导叫什么、你们公司用什么办公软件。我见过一封伪装成“钉钉会议邀请”的邮件，标题写着“关于Q3绩效面谈时间调整”，正文里甚至引用了真实的部门名称和HR姓名。点进去是个高仿的钉钉登录页，URL是“dingtalk-oa.com”。

这类攻击有个术语叫“鱼叉式钓鱼”——不广撒网，只针对你一个人。成本极低，回报极高。安全公司Proofpoint的数据显示，2023年超过60%的企业数据泄露事件，入口都是一封邮件。

弱密码不是“方便”，是“方便别人”

我做过一个小范围测试。让20个同事现场注册一个新账号，要求设密码。结果11个人用了“公司名+123”，6个人用了“姓名拼音+生日”，只有3个人用了随机生成的强密码。更麻烦的是，这20个人里，有14个在多个平台用同一个密码。

这意味着什么？任何一个网站被拖库，你的邮箱、网盘、甚至网银都可能被撞库登录。黑客不需要破解，他们只是拿A网站的账号密码去B网站试一遍。成功率比你想象的高得多。

有个细节值得注意：很多人觉得“我的密码很复杂，大小写加符号”。但如果你用的是“Password@123”，那和“password”没本质区别——它早就在黑客的字典里了。真正有效的做法是：用密码管理器生成16位以上随机字符串，或者用一句只有你知道的话，比如“楼下煎饼果子加俩蛋不要香菜”，取首字母和数字。

公共WiFi：免费的往往最贵

咖啡厅、机场、酒店大堂的开放WiFi，你连上的那一刻，同一网络下的攻击者就能用ARP欺骗截获你的所有流量。我曾在星巴克亲眼看到一个“WiFi pineapple”设备——巴掌大，伪装成“Starbucks_Free_WiFi”，半小时内连上了17台手机。

这不是说不能用公共WiFi。但至少做到两点：一，别在公共WiFi下登录网银或输入支付密码；二，手机和电脑都开VPN，把流量加密。如果连VPN都没有，用手机热点。流量费比数据泄露的代价便宜太多。

更新，更新，还是更新

去年爆发的Log4j漏洞，影响全球数百万台服务器。补丁发布后一周，仍有超过40%的系统没打。不是管理员懒，是很多企业怕更新导致业务中断。但攻击者不会等你“方便的时候”。

个人用户也一样。Windows弹窗提示重启更新，你点了“稍后提醒”。那个“稍后”可能是三个月。这三个月里，一个已知漏洞就能让勒索软件加密你所有文件。我自己的习惯是：每周五下午留半小时，专门处理系统更新和软件升级。当成例行公事，别等。

网络安全没什么高深理论。它是一堆具体动作的叠加：看一眼发件人真实域名、给每个账号设不同密码、公共网络不登敏感账户、看到更新提示就点。这些事花不了多少时间，但能挡住绝大多数麻烦。

老张后来跟我说，他现在每封邮件都会把鼠标悬停在发件人上停两秒。那47万，公司追回了12万。剩下的，他自己垫了。