互联网存在安全风险

去年冬天，互联我一位朋友点开了一条“快递理赔”短信里的网存链接。页面做得和某快递公司官网几乎一样，安全她填了银行卡号和验证码。风险三分钟后，互联卡里两万七千块钱被分五次转走。网存报警、安全联系银行、风险冻结账户，互联钱最终只追回来四千多。网存她后来跟我说，安全那个页面在手机上打开时，风险地址栏的互联域名只差一个字母。

这不是网存孤例。互联网从设计之初就没有把安全放在第一位。安全TCP/IP协议在1969年诞生时，连密码验证都没考虑。数据包在网络上传输，就像明信片在邮局之间传递——任何一个中转站的人都能翻看内容。今天我们用HTTPS加密了大部分流量，但底层逻辑没变：你永远不知道数据经过了多少台路由器，其中哪一台被人做了手脚。

公共WiFi是另一个重灾区。我在咖啡馆写稿时，常看到有人连上免费WiFi就登录网银。他们不知道，同一个网络里可能有人开着抓包工具。去年某安全团队做过实验，在机场休息室架设一个名字叫“Free_Airport_WiFi”的热点，两小时内就有37台设备自动连接。其中11台设备在连接后五分钟内发送了明文密码。这个实验没有用任何高级技术，只是利用了手机自动连接已知WiFi名称的功能。

密码问题比想象中更糟。我统计过身边二十个朋友的常用密码，有六个用生日，四个用“123456”加名字缩写，三个在不同平台重复使用同一个密码。黑客拿到一个网站的数据库，就能撞库登录其他网站。2019年某社交平台泄露了4亿条用户记录，其中三成密码在三个月内出现在暗网交易帖里。这不是用户懒，是互联网服务商逼的——每个网站都要求大小写加数字加符号，人脑记不住二十个不同的复杂密码。

软件更新弹窗烦人，但拒绝更新的代价更大。Windows 7停止支持后，勒索病毒WannaCry利用的永恒之蓝漏洞依然有效。我认识一个开打印店的小老板，他的收银电脑还在跑XP系统。去年被锁了所有文件，黑客要0.5个比特币。他没付，重装了系统，丢了三年客户资料。他说：“电脑能用就行，更新什么？”问题是，不更新的电脑在互联网上就像没锁门的房子。

移动应用权限是另一个黑洞。我装过一款手电筒App，它要求读取通讯录和位置信息。拒绝就闪退。后来发现这款App在后台每十分钟上传一次位置数据。应用商店的审核机制拦不住所有恶意行为，尤其是那些伪装成工具类的软件。用户要么接受霸王条款，要么不用。大多数人选了前者。

物联网设备把风险推到了新高度。智能摄像头、智能门锁、儿童手表，这些设备算力有限，很难跑完整的加密协议。2016年Mirai僵尸网络感染了数十万台摄像头和路由器，发起DDoS攻击导致半个美国的网络瘫痪。那些设备的默认密码是“admin/admin”，用户从没改过。厂商也不提醒。

风险不是靠“小心一点”就能解决的。我见过安全专家自己中招——钓鱼邮件伪装成会议邀请，点开就中招。人的注意力有限，而攻击者只需要成功一次。技术层面需要更严格的协议设计、更透明的数据流向、更严厉的违规处罚。个人层面，至少做到：不同平台用不同密码，公共WiFi不登录敏感账户，软件更新别一直点“稍后提醒”。

互联网不会变得更安全，只会更复杂。每新增一个设备、一项服务、一个连接点，攻击面就扩大一圈。这不是悲观，是过去三十年反复验证的事实。