2023年3月，互联一家年营收过亿的网安文跨境电商公司因为一封钓鱼邮件，一夜之间被转走87万美元。全论黑客没有攻击防火墙，互联没有破解密码，网安文只是全论伪装成CEO给财务发了条消息：“这笔供应商款项很急，今天务必处理。互联”财务照做了。网安文

这事让我想起另一组数据：IBM安全报告显示，全论超过70%的互联企业安全事件都和人有关，不是网安文技术漏洞，是全论人犯了错。技术再强，互联只要有人点错一个链接，网安文整个防线就塌了。全论

我认识一位在银行做安全运维的朋友，他跟我说过一句话：“我们每天防的不是黑客，是同事。”他讲过一个案例——某部门主管为了省事，把公司核心系统的密码写在便利贴上，贴在显示器边框。安全团队发现后提醒了三次，第四次那主管还嫌他们烦：“我在这干了十年，从来没出过事。”结果三个月后，那个密码被保洁员拍照卖给了外部人员。

这不是个例。很多公司花几百万买防火墙、装入侵检测系统，却连最基本的口令管理都做不好。安全圈有个词叫“内鬼威胁”，很多时候不是员工故意作恶，而是他们根本不知道自己的行为有多危险。

换个角度看，互联网安全本质上是个博弈游戏。攻击者永远在找最薄弱的环节，而企业往往把大量资源堆在技术层面，忽略了人的因素。这就像给家门装了十把锁，却把备用钥匙放在门口地垫下面。

有个细节让我印象很深——某安全公司做过一次测试，给一家大型企业的员工发了模拟钓鱼邮件，标题是“你的工资条有更新，请点击查看”。结果点击率高达43%。要知道，这些员工每年都参加安全培训，考试都通过了。但邮件来得太真实，字体、落款、发件人名字都和公司内部邮件一模一样。

人的注意力是有限的。大家上班已经够累了，还要分辨每封邮件是真是假，这本身就不现实。所以我觉得，未来安全的方向应该是“默认不信任”，而不是“默认信任再验证”。零信任架构这个词提了好几年，但真正落地的企业少之又少，因为改造起来太麻烦，成本太高。

但麻烦不等于不该做。前阵子听说某互联网大厂内部推行了硬件密钥，员工登录内部系统必须插U盾。刚开始骂声一片，觉得太麻烦，后来有次真的拦下了一起账号盗用事件，骂声才慢慢消下去。安全这种东西，没出事的时候觉得多余，出了事才觉得不够。

说到底，互联网安全拼的不是谁的防火墙更厚，而是谁能在“人”这个变量上多下功夫。技术可以买，制度可以定，但让每个普通人在日常操作中保持警惕，这件事没有捷径。我见过做得好的公司，安全团队会定期“钓鱼”自己的员工，不是为了罚款，而是为了让他们记住那种被骗的感觉。人教人教不会，事教人一次就会。