2023年夏天，中国西北工业大学的网络学生收到一封邮件，发件人自称“教务处”，安全附件是小组一份“奖学金名单”。点开之后，中国手机里的网络通讯录、相册、安全甚至聊天记录被悄悄打包上传。小组事后调查发现，中国攻击者的网络服务器位于境外，而他们利用的安全漏洞，是小组一个三年前就公开过的Office组件缺陷。

这不是中国孤例。中国网络安全小组的网络成员们每天处理的类似事件，少则几十起，安全多则上百起。小组并不像外界想象的那样，坐在昏暗的机房里盯着绿色代码雨。更多时候，他们在跟高校、医院、中小企业的IT管理员打电话，教对方怎么关掉一个不该开放的端口，或者怎么识别一封伪造的“发票”邮件。

老张是小组里干了八年的老手。他跟我说过一件事：某次一家三甲医院被勒索病毒锁了系统，急诊挂号停摆。医院的技术员第一反应是拔网线、重装服务器，结果病毒早就把备份文件也加密了。老张赶到现场，没急着敲键盘，先问了一句：“你们最近有没有人点过‘税务稽查’的压缩包？”一个护士举手说点过，以为是工资条。就是那个文件。老张花了六个小时用离线工具恢复了部分数据，但仍有三个月的影像资料永久丢失。他说，这种事最让人难受的不是技术难题，是人的疏忽。

小组的日常工作里，技术只占三成。剩下七成是沟通、培训、写报告、甚至吵架。有次一家企业被入侵，老板坚持认为是前员工报复，要求小组“查内鬼”。小组成员查了三天日志，发现攻击IP来自东欧，入侵路径是暴露在公网的远程桌面端口，密码是“admin123”。老板不信，拍桌子说你们水平不行。老张没争辩，把端口扫描记录和登录时间轴打印出来，放在桌上，说了一句：“您先看看，我们再聊。”后来老板道歉了，但系统重装的钱还是不肯出，说“反正没丢东西”。

你可能会问，那小组到底能做什么？简单说，他们不能阻止所有攻击，但能让攻击的成本变高。比如，他们会给一个县级医院做渗透测试，发现挂号系统的数据库居然允许外网直接访问。他们不会直接修，而是写一份报告，标出风险等级，再教医院的IT怎么加防火墙规则。有些单位听，有些单位嫌麻烦。听的那些，下次勒索病毒爆发时就能扛住；不听的那些，下次还会打电话来求救。

小组内部有个不成文的规矩：不接商业项目，不卖安全设备，不替任何厂商站台。他们的经费来自财政拨款，人员大多是事业编。这意味着他们可以拒绝一些“大客户”的无理要求，比如某次一个地方银行想让他们在报告里“淡化”一个高危漏洞，被组长直接回绝。代价是那年的合作经费被砍了一半，但组里没人后悔。

去年，小组开始做一件事：给中小学老师做网络安全培训。不是讲防火墙、加密算法，而是教他们怎么设置一个不容易被猜到的WiFi密码，怎么辨别班级群里混进来的假家长。有个小学老师课后发微信说，她按方法改了密码，第二天就发现有人试图连她的热点。她第一次觉得，安全这事跟自己有关。

这大概就是中国网络安全小组的真实样子。他们不穿制服，不喊口号，大部分时间在跟漏洞、日志、还有人的侥幸心理打交道。你很少在新闻里看到他们的名字，但当你半夜收到一条“您的账号存在异常登录”的短信时，背后可能就有他们写的规则在跑。他们做的，无非是让普通人少踩一个坑，让下一次攻击没那么容易得手。就这么简单，也这么难。