公司刚上班，财务小李正准备付款，突然发现邮箱里多了封“老板”的加急邮件，要求马上转账到某账户。她觉得有点不对劲，可发件人名字、头像、语气都太像了。等她打内线电话确认时，才知道老板根本没发过这封邮件。
漏洞不是黑客的锅
很多人以为，企业被黑是因为黑客技术高超。其实更多时候，是自家网络的“门”没关严。比如某个员工用默认密码登录路由器，或者测试服务器直接暴露在公网，连防火墙都没开。这些都不是高科技攻击，而是低级失误。
有家公司做电商，后台系统一直没更新补丁。结果一个已知漏洞被利用，攻击者通过注入SQL语句，把用户数据整批拖走。事后查日志才发现，对方IP来自境外，但攻击方式简单到只要一条命令就能完成：
SELECT * FROM users WHERE 1=1; -- UNION SELECT username, password FROM admin_login弱口令是最常见的破洞
不少企业还在用“admin/admin”当登录凭证，甚至多个系统共用一套密码。销售部的小王为了省事，把CRM系统的账号密码写在便签上，贴在显示器旁边。保洁阿姨擦桌子时顺手拍了张照发朋友圈，刚好被有心人看到。几天后，客户资料开始出现在暗网交易市场。
更隐蔽的是第三方风险。公司用的OA系统外包给小团队开发，对方图方便，在代码里硬编码了数据库密码。后来程序员离职，这段代码没人动过，直到半年后扫描工具扫出这个接口，才意识到问题。
别让Wi-Fi成突破口
会议室的无线网络，是不是连个密码都没有？访客能直接访问内网打印机？有的企业为了方便客户，开了个“Guest”热点，但没做隔离。攻击者连上后，用nmap一扫，发现能访问财务共享文件夹。这种事真发生过，损失比买防火墙贵十倍。
修补漏洞不一定要花大钱。定期更新系统、关闭不用的端口、给员工做钓鱼邮件演练，这些动作坚持三个月，风险能降一大截。安全不是买个杀毒软件就完事，而是每天都要检查的“锁门习惯”。