上周五下午，网络公司那台老掉牙的安全服务器突然开始疯狂向外发包。IT老张盯着屏幕骂了句脏话，培训然后拔了网线。小结事后查出来，网络是安全有人点了邮件里那个“发票逾期”的链接。整个财务部集体中招，培训好在发现及时，小结没造成实质损失。网络但这已经是安全我今年遇到的第三次类似事件了。

所以这次培训，培训我没讲什么高大上的小结零信任架构，也没扯那些让人犯困的网络合规条款。我就把这三件事摊开来讲：钓鱼邮件、安全弱密码、培训还有那些随手插进电脑的U盘。

先说钓鱼邮件。你以为它还是那种满屏错别字的“恭喜您中奖”？早变了。现在的钓鱼邮件会模仿你老板的说话习惯，会引用你上周刚发的项目周报，甚至能伪装成HR发来的调薪通知。我亲眼见过一封伪造的运维通知，连发件域名都只差一个字母。破解办法其实很笨——重要邮件涉及转账、密码、个人信息变更，别用邮件里的链接，直接打开浏览器手动输入官方网址。这多花十秒钟，能挡掉九成攻击。

再聊密码。我知道你们嫌麻烦，把密码设成“Wang123456”的，请自觉举手。别不好意思，去年安全部门做过统计，公司里用“123456”当密码后缀的账户超过四成。有人觉得“我电脑里又没机密，怕什么”。可黑客不这么想，他们拿到你的邮箱权限，不是为了看你的聊天记录，而是拿你的账号当跳板，往同事、客户、合作伙伴发带毒邮件。你成了工具人，自己还不知道。我的建议很土但管用：用一句话当密码，比如“我女儿叫小雨今年八岁”，首字母加数字，变成“Wdnjxyjns8s”。又好记，又难猜。

U盘这事儿，说起来更气。上周有人在茶水间捡了个U盘，插到自己电脑上想看看是谁丢的，结果屏幕直接黑掉，勒索软件开始加密文件。这种“扔U盘”的招数，十年前的教材里就有，现在依然有人上当。记住一条铁律：地上捡的电子设备，永远不要插到自己电脑上。真想做好事，把它交到IT部门，他们有隔离的机器来处理。

培训现场有人说：“我平时注意点不就行了？”我直接反问了一句：你上周是不是在会议室用手机连过公共Wi-Fi？他愣了一下。对，就是那种不设密码的开放网络。你在上面查工资、登邮箱，数据包就像裸奔在大街上，有点技术基础的人用个抓包工具就能看到你在干嘛。我的建议是，出门在外，流量够用就别连陌生Wi-Fi；非连不可，那就别做任何涉及账号密码的操作。

培训结束前，我做了个现场小测试。模拟发了一封带链接的“系统升级通知”到所有人邮箱，结果半小时内，有二十三个人点了链接。其中还包括一个部门主管。我没点名批评，只是把数据投到屏幕上，会议室安静了几秒。

网络安全这东西，说穿了不是技术战，是心理战。黑客攻击的不是你的防火墙，是你的粗心、你的侥幸、你的“就这一次没关系”。下次再收到可疑邮件，先深呼吸，看看发件地址，想想是不是真的需要点那个链接。你多犹豫的那几秒，可能就救了你整个部门的电脑。