接到网监大队电话的网监时候，老周正在改客户后台的大队登录接口。对方语气很正式，说网说他的漏洞网站存在SQL注入漏洞，要罚款五万。罚款老周愣了一下，网监问哪个站。大队对方报了个域名，说网他才想起来——那是漏洞三年前给本地一家小饭馆做的展示页，早就不维护了，罚款服务器还挂在某云上，网监密码他都快忘了。大队

这事不是说网段子。我后来在几个技术群里问了一圈，漏洞发现最近半年至少有七八个人遇到过类似情况。罚款套路高度一致：先电话通知，再发一份《网络安全监督检查通知书》的扫描件，盖着红章，引用《网络安全法》第二十一条和第五十九条，要求限期整改并接受处罚。金额从两万到十万不等，看对方心情。

漏洞是真的。老周那个站确实有注入点，因为当年赶工，登录框的查询语句直接拼了字符串。但问题在于，这个站日均访问量不到二十，除了他自己偶尔上去看看服务器挂没挂，根本没人访问。网监大队是怎么发现的？后来他托人打听，才知道是省里统一搞的扫描行动，用自动化工具全网段扫IP，扫到有漏洞的就下发到属地网监处理。换句话说，不是有人攻击你，是机器扫到了你。

这里有个很微妙的点：法律条文写的是“未履行安全保护义务”，但实际执行中，只要扫出漏洞就默认你未履行。至于这个漏洞有没有被利用、网站有没有数据、有没有造成实际危害，不在考虑范围内。老周试着解释，说这站就是个静态展示页，数据库里只有三张表，最敏感的信息是饭馆老板的手机号。对方回了一句：“有漏洞就得罚，这是规定。”

我看了那份通知书，措辞很讲究。它不直接说“罚款”，而是写“拟处以行政处罚”，给你留个协商空间。老周后来找了一家有资质的等保测评机构，花八千做了个整改报告，又托关系请网监的人吃了顿饭，最后罚款降到五千。他算了一下，加上请客和报告的钱，总共花了一万二。比五万划算，但比一开始就好好维护服务器贵多了。

这事让我想起另一个案例。有个做电商的朋友，网站被扫出XSS漏洞，网监要求三天内整改完毕并提交报告。他连夜改了代码，第二天把报告交上去，结果对方说格式不对，要按模板来。模板里有一项“漏洞危害程度评估”，他填了“低危”，被打回来，说必须填“中危以上”。他问为什么，对方说：“低危我们没法立案。”

所以你看，这套流程其实是个闭环。扫描工具负责找漏洞，网监负责下通知，测评机构负责出报告，最后罚款入库。每个环节都有存在的理由，但合在一起，就变成了一门生意。老周后来把那个饭馆的站直接关了，服务器退了，域名也没续费。他说：“惹不起，我躲得起。”

但躲不是办法。只要你的服务器还在公网上，只要你还用着有漏洞的组件，就可能被扫到。网监大队的KPI里有一项叫“网络安全事件处置率”，你被扫到，就是他们的处置对象。至于你网站是不是真的有人用，他们不关心。机器不关心，流程也不关心。

老周现在学乖了，所有站都上了WAF，定期扫漏洞，备份做得比银行还勤。他说：“以前觉得安全是技术问题，现在觉得是态度问题。你态度好，罚款就少点。”这话听着像玩笑，但我知道他是认真的。因为上周他又接到一个电话，说新站有个弱口令，他二话没说，直接改了密码，然后把整改报告发过去。这次没罚款，对方说“下不为例”。

下不为例。这四个字在网监大队的语境里，大概意思是：下次扫到再说。