内容摘要：2023年9月，某大型车企的一名离职员工在个人博客上发布了一篇“技术复盘”文章，文中包含了一张内部网络拓扑图的截图。他以为打了马赛克就没事了，但图片元数据里藏着完整的设备型号和IP地址段。三天后，境外

2023年9月，网络某大型车企的安全一名离职员工在个人博客上发布了一篇“技术复盘”文章，文中包含了一张内部网络拓扑图的泄密截图。他以为打了马赛克就没事了，典型但图片元数据里藏着完整的事例设备型号和IP地址段。三天后，网络境外IP开始针对该企业VPN入口进行暴力破解。安全这件事后来被定性为“泄密”，泄密但当事人直到被约谈都没想明白——自己只是典型写了个技术总结，怎么就成了帮凶？事例

类似的案例这两年明显变多。不是网络黑客有多高明，而是安全泄密的口子往往开在人们觉得“无所谓”的地方。2022年，泄密某省级政务云平台的典型一份运维日志被外包人员上传到GitHub，文件名就叫backup_2022。事例日志里记录了数据库连接字符串，密码是明文。这个仓库公开了11天，下载量37次。安全团队发现时，攻击者已经用这个账号在凌晨三点导出了两张表的数据。事后复盘，那个外包人员说：“我以为私有仓库就没事，而且我设了密码。”——他设的密码是123456。

技术圈有个流传很广的段子：最坚固的防火墙，也挡不住员工把密码写在便利贴上贴在显示器边框。这真不是笑话。2021年，某电商平台的一次内部安全演练中，红队成员假装成送外卖的，在办公区转了一圈，拍到了三台未锁屏的电脑、一张写着“VPN：admin/Admin@2021”的便签，以及白板上画的系统架构草图。红队后来在报告里写：“我们没有用任何0day漏洞。”

泄密渠道正在变得琐碎且日常。邮件发错人、微信传文件、网盘分享链接忘了设有效期、甚至朋友圈晒工位照片时拍到了屏幕上的代码。2020年，某游戏公司的新版本角色原画提前泄露，源头是主美把设计稿发到了自己的家庭群，群里一个亲戚转手发到了贴吧。追究起来，主美说：“我就是想让家人看看我在做什么。”——这句话背后，是安全意识和人情社会之间的真实冲突。

更隐蔽的是供应链泄密。2023年初，某金融机构的客户数据出现在暗网上，调查发现源头是一家做短信通知的第三方服务商。该服务商的开发环境使用了与生产环境相同的密钥，而开发服务器上跑着一个未修补的Log4j漏洞。攻击者从那里横向移动，花了六周时间才摸到核心数据。整个过程中，金融机构的安全监控没有触发任何告警——因为流量来自“可信合作伙伴”的IP段。

这些案例的共同点不是技术多复杂，而是“信任”被当成了安全策略。信任员工不会乱传文件，信任外包商会管好密钥，信任合作伙伴的网络是干净的。但攻击者恰恰利用这种信任，从最薄弱的环节切入。安全圈有句话：你花一千万买的防火墙，可能被一个U盘毁掉。这话有点绝对，但方向没错。

回到开头那个车企员工。他后来在内部检讨里说了一句话：“我以为马赛克是安全措施。”这种“以为”遍布在每一个泄密事件里。以为私有仓库安全，以为密码复杂就够了，以为发给自己人没问题。真正的防线不在设备里，在人的判断里。而人的判断，恰恰是最难标准化的东西。