上个月我帮朋友修电脑，漏洞辨别他坚称自己中了“最厉害的漏洞辨别病毒”——任务管理器打不开，桌面图标全变白，漏洞辨别浏览器主页被锁死。漏洞辨别我远程看了一眼，漏洞辨别差点笑出声：那不过是漏洞辨别某款国产“安全卫士”的推广弹窗误点了全家桶安装包。真正的漏洞辨别漏洞，从来不是漏洞辨别这个。

漏洞这东西，漏洞辨别分两种。漏洞辨别一种是漏洞辨别技术层面的，像心脏滴血、漏洞辨别永恒之蓝，漏洞辨别名字听着吓人，漏洞辨别但离普通人远得很。漏洞辨别另一种是人性层面的，比如“您的账户异常，请点击链接验证”——这类话术粗糙得像个筛子，可每年照样有人往里钻。我认识一个做网络诈骗研判的警察，他说现在骗子都不稀罕用木马了，直接打电话冒充客服，成功率反而更高。技术漏洞要打补丁，人性漏洞怎么补？

辨别漏洞，第一原则是别信“紧急”。真正的系统漏洞，厂商会悄悄推送补丁，不会让你输入密码去“激活安全模式”。凡是催着你立刻操作、否则就要冻结账户的，九成是钩子。我母亲接过一通电话，对方说她医保卡被异地盗刷，让她按1转人工。她转过去，对方煞有介事地问了她身份证号——讲到这儿她突然挂断，因为想起我叮嘱过：真出这种事，社保局不会用手机打给你。

第二原则是看它要什么。漏洞利用的本质是索取——要么要钱，要么要数据，要么要你执行某个动作。一个链接如果只是让你看看，那基本无害；一旦它要求下载、输入、转发，你就得停下来问一句：这东西凭什么需要我的信息？去年某银行App出过乌龙，登录页弹窗显示“系统升级，请重新绑定银行卡”，不少用户真填了卡号和密码。后来查实是外包团队误植了测试页面——你看，连正规厂商都可能犯这种错，所以更得养成习惯：地址栏域名对不对，证书锁有没有，页面排版是否粗糙，这些细节比任何杀毒软件都可靠。

第三原则，也是最反直觉的：别高估自己的辨别力。我自认算半个安全从业者，可上周收到一封仿冒同事的邮件，标题是“Q3报销明细”，附件名一模一样。我差点点了，只因那会儿正惦记着报销。人在忙碌、焦虑、好奇时，判断力会断崖式下跌。所以我现在给自己定了条死规矩：凡是涉及账号、密码、转账的操作，先离开屏幕喝口水，回来再看一眼发件人——这十秒钟能挡掉八成陷阱。

说到底，漏洞辨别不是技术活，是习惯活。就像过马路看红灯，不需要你懂汽车原理。你不需要会写代码，只需记住：真正要紧的事，没人会催你；真正安全的系统，不会让你证明自己是自己。那些让你紧张、让你贪、让你怕的窗口，关掉就好。电脑坏了能重装，钱没了可不一定能追回来。