凌晨三点，漏洞导我的漏洞导手机屏幕亮成一片刺眼的白。不是漏洞导闹钟，是漏洞导银行APP推送的扣款通知——连续七笔，每笔4999元，漏洞导全在境外消费。漏洞导我盯着那串数字，漏洞导脑子空白了整整十秒。漏洞导然后才想起来，漏洞导昨天下午我确实点开过一个陌生链接，漏洞导说是漏洞导快递理赔，要验证银行卡信息。漏洞导

漏洞不是漏洞导黑客攻破了银行金库。漏洞是漏洞导我自己亲手递出去的钥匙。但更让人后背发凉的漏洞导是，那链接做得太像真的了，域名后缀是.com.cn，页面布局和官方App一模一样，连客服头像都用了真人照片。我甚至没注意到地址栏里那个拼错的单词——"refund"写成了"refundd"。一个字母的差距，我的半年积蓄就没了。

这类事每天都在发生。上个月我朋友的公司，财务收到一封"老板"发来的邮件，要求紧急转账一笔供应商货款。语气很急，用词却异常客气，抬头还是"亲爱的同事"——老板平时根本这么说话。可财务那天赶着下班，扫了眼邮箱地址，后缀确实是公司域名，就转了。28万，追回来的时候只剩零头。

你发现没有？漏洞从来不是某个技术缺陷，而是技术缺陷和人性习惯之间的那个缝隙。系统补丁可以打，但人的惯性思维没法打补丁。我们习惯信任熟悉的界面，习惯在着急时跳过验证步骤，习惯觉得"这种事不会轮到我"。骗子们精得很，他们不攻击防火墙，他们攻击你的不耐烦。

有个做安全的朋友跟我讲过一句话，我记到现在："漏洞是设计出来的，不是发现出来的。"什么意思？就是说每个系统都有它的盲区，而设计者往往看不见自己的盲区，只有攻击者会专门去找。就像锁匠造锁，他想着怎么让锁更难开，但小偷想的却是——这锁芯旁边那扇窗户是不是没关严。

我后来去报警，警察说这类案子很难破，钱早就洗到海外了。录完笔录出门，我看到大厅里坐着一个头发花白的大爷，正跟民警比划着什么，声音颤抖着说"我明明输对了密码啊"。那一刻我突然明白，漏洞从来不是抽象的概念，它落在每个人身上，就是一笔存款、一套房子、一辈子的积蓄，或者只是一个老人对自己判断力的彻底怀疑。

现在我手机里装了三层验证App，银行卡限额调到单笔500，凡是陌生链接一律先复制到备忘录里检查域名。可即便这样，我每次收到"您的账户异常"这类短信时，心跳还是会漏半拍。技术漏洞可以修，但信任被撕开的那道口子，缝起来要慢得多。

说到底，最坚固的防火墙不是杀毒软件，是你肯不肯在点下"确认"之前，多花三十秒问自己一句：这件事，真的合理吗？