办公室墙上的管理便利贴又换了一张新的。浅黄色，员密圆珠笔字迹，管理“管理员密码是员密Admin@2024”。我盯着那串字符看了三秒，管理然后掏出手机拍了张照。员密这是管理我这个月见到的第七张写着管理员密码的便利贴，前六张分别贴在显示器边框、员密键盘托、管理机柜门内侧、员密茶水间微波炉上方、管理打印机盖板，员密以及——最离谱的管理——消防栓玻璃内侧。 密码本身倒是员密没什么稀奇。Admin打头，管理加个@符号，配上当前年份，再补两个数字。这种组合规律在中小企业的管理员账号里出现频率高得惊人。我认识一个做运维的朋友，他说自己入职第一天就被同事拉着加了二十多个工作群，每个群里都有人问“管理员密码是多少”，而答案永远以截图形式出现在聊天记录里，截图内容无一例外是某个记事本文件，里面按部门列着十几条账号密码。 别急着笑。你大概以为这是小公司才会有的混乱。可我知道一家员工超过五百人的科技公司，他们的核心业务系统管理员密码就写在内部wiki首页的欢迎语下面，加粗字体，红色标注。有人提过意见，行政回复说“方便大家使用”。后来那家公司被勒索病毒盯上，数据恢复花了三周，损失惨重。事后复盘时他们才发现，攻击者进入系统的路径，就是那条被公开了三年多的管理员密码。 密码这东西，本质上是个悖论。设得太复杂，记不住，于是有人把它抄在纸上贴在工位隔板上——物理世界里的漏洞比数字世界的更难修补。设得太简单，又等于没设。我见过最离谱的一个密码是“123456”，用在某政府部门的对外服务平台上。发现这事的是个刚毕业的实习生，他报告给领导时，领导愣了一下，说“这密码用了五年了，一直没事啊”。没出事不代表安全，就像没被偷过不代表家里不用锁门。 有些企业开始用动态令牌、指纹识别、人脸验证，但真正执行起来又是另一回事。我有个客户，上了全套生物识别系统，结果高管嫌麻烦，让IT把管理员账号的指纹验证关掉了，改成固定密码。那密码是高管生日加手机尾号，全公司至少有二十个人知道——因为HR发工资条的时候，附件里不小心带上了那个密码的明文备份。 说到底，管理员密码从来不只是技术问题。它像一面镜子，照出一个组织对风险的真实的、不加掩饰的态度。便利贴上的密码会过时，会随着人员离职而失效，但那种“方便优先”的惯性不会消失。今天贴的是Admin@2024，明年可能就是Admin@2025，换汤不换药。 我离开那间办公室的时候，顺手把那张便利贴撕下来带走了。倒不是想干坏事，只是觉得，如果哪天有人真的想进来，他们需要的可能根本就不是密码——而是敲敲门，看看有没有人应。