内容摘要：2023年3月，某省级三甲医院的挂号系统在凌晨两点突然瘫痪。值班运维老张被短信轰炸吵醒，打开电脑一看，数据库连接池爆满，后台日志里塞满了来自越南、巴西和荷兰的IP。攻击者没偷病历，也没改处方，只是往挂

2023年3月，网络某省级三甲医院的安全案例挂号系统在凌晨两点突然瘫痪。值班运维老张被短信轰炸吵醒，攻击打开电脑一看，事件数据库连接池爆满，网络后台日志里塞满了来自越南、安全案例巴西和荷兰的攻击IP。攻击者没偷病历，事件也没改处方，网络只是安全案例往挂号队列里灌了四万条虚假预约——第二天早上七点，两千多名患者堵在门诊大厅，攻击保安差点报警。事件这不是网络电影情节，是安全案例真实发生的勒索软件前置攻击。攻击者先搞瘫服务，攻击再发邮件索要比特币，开价12万。

老张后来复盘，漏洞出在一台2016年的老服务器上，Windows Server 2008，补丁停在2019年。医院信息科不是不知道，但换系统要停诊三天，院长没批。攻击者用了一个三年前就公开的SMB漏洞，工具是现成的，GitHub上能下载。这让我想起一个安全圈的老话：最危险的漏洞，永远是那个你早就知道但没修的。

类似的事在制造业更狠。2022年，丰田一家零部件供应商被攻击，日本14家工厂停摆一天，损失约1.3万辆车的产能。攻击入口是什么？一个外包维护人员的VPN账号，密码是“toyota2022”。你没看错，就这么简单。攻击者没用什么零日漏洞，也没搞鱼叉钓鱼，就是拿泄露的密码库撞了一下。很多企业把安全预算砸在防火墙和EDR上，却忘了最基本的密码策略和多因素认证。这就像给金库装了指纹锁，但窗户开着。

再说个更近的。2024年初，某二线城市政务云被挖矿木马入侵。攻击者利用的是Redis未授权访问，直接写SSH公钥，然后横向移动。安全团队发现时，攻击者已经跑了三周，挖了价值约8万的门罗币。有意思的是，入侵检测系统报过警，但被值班人员标记为“误报”——因为那台Redis服务器本来就不该对公网开放，报警日志里写的是“异常外联”，值班的以为是业务正常调用。安全设备再多，人不动脑子，等于零。

这些案例有个共同点：攻击者不挑最硬的骨头啃。他们扫全网，找那个最弱的IP，用最老的漏洞，拿最便宜的入口。医疗、制造、政务，行业不同，但弱点惊人相似——老系统、弱密码、配置错误、日志没人看。我见过一家公司花200万买了态势感知平台，结果服务器root密码是“admin123”。问就是“内网，没事”。可内网早不是铁板一块，钓鱼邮件一点，VPN一破，内网就是攻击者的高速公路。

说点实在的。如果你管着几台服务器，今晚回去干三件事：第一，把公网暴露的端口全扫一遍，关掉不必要的；第二，查所有账号的密码，弱密码全改，能上多因素认证就上；第三，翻翻日志，看看有没有半夜三点从巴西登录的SSH记录。别等系统瘫了再找安全公司，那时候报价翻三倍，你还得签。

攻击者不关心你是什么行业，只关心你什么时候打补丁。网络安全不是买设备，是日常习惯。就像老张后来跟我说的：“那晚要是有人提前点一下升级按钮，我就能睡个整觉。”