网络安全入门：一个晚上把自己保护好
2026 年 10 月 29 日，几小时内约 63 亿美元从币安（Binance）的热钱包流出，这是有记录以来最大的加密货币盗窃案。按交易所的最初说法，没有人攻破区块链：攻击者控制了一名工程师的工作笔记本，并通过它进入了负责发送提现的服务。大型黑客事件从人和设备开始，小事件也一样。好消息是：基础防护几乎能挡住所有针对普通人的攻击，一个晚上就能做完。顺序如下。
第 1 步：明白你为什么会成为目标
大多数攻击是批量的，不是针对个人。某个网站的数据库泄露，机器人拿这些"邮箱 + 密码"组合到处尝试，哪里密码对得上，就从哪里进去。攻击者走三扇门：你的账号（被猜中或被盗的密码、被截获的短信验证码）、你的设备（恶意软件、被盗、没锁屏的手机）和你本人（被说服交出验证码或安装程序）。
"我没什么可偷的"是个误区：被盗的账号会被用来以你的名义向朋友借钱。先从掌管一切的三把钥匙开始：你的邮箱、你的手机号和你的主力设备。课程：一台笔记本如何造成 63 亿美元损失
第 2 步：每个网站一个独立密码，长度才是关键
一个网站泄露后，机器人会拿同一个密码去试邮箱、银行和交易所。这叫"撞库"（credential stuffing），一个重复使用的密码能打开所有的门。"Dan2004!"看起来复杂，但机器人最先试的就是名字和年份。从 7776 个词的词表里随机选 6 个词，大约有 2·10²³ 种组合：好记，又不可能被猜中。用生成器选词，别靠脑子想。
美国国家标准与技术研究院（NIST）认为：长度比"复杂度"重要；如果密码是唯一的保护，至少要 15 个字符；没有泄露迹象就不需要定期改密码。到 Have I Been Pwned 查一下你的邮箱：如果出现在某次泄露里，把那个密码在所有重复使用的地方都换掉。课程：别人猜不出的密码
第 3 步：让密码管理器替你记
100 个不同的密码记不住，也不需要记。密码管理器把每个网站 20 位以上的随机密码存进加密保险库，你只需要记住一句很长的主密码。系统自带的有苹果的"密码"App 和谷歌密码管理器，独立的有 Bitwarden、1Password 和 Proton Pass。
额外好处：它能识破钓鱼。管理器把每个密码绑定到精确的网址，在仿冒网站上它不会填充。如果在一个"熟悉"的网站上它不提示密码，就停下来检查网址。先换邮箱、银行和交易所的密码，其余的下次登录时再换。课程：密码管理器：只记一个
第 4 步：打开双重验证，最好用通行密钥
谷歌 2019 年的研究显示，面对定向攻击，短信验证码挡住了 76% 的尝试，设备上的确认提示挡住 90%，硬件安全密钥挡住 100%。短信是最弱的一级：2024 年 1 月，骗子说服运营商把美国证券交易委员会（SEC）的号码转到自己的 SIM 卡上，劫持了它的 X 账号。验证器 App 更好。通行密钥（passkey）最好：它绑定网站的精确地址，在假网站上根本无法使用。把备用码抄在纸上放在家里。课程：双重验证：从短信到通行密钥
第 5 步：锁好邮箱和手机号
几乎所有"忘记密码？"的链接都发到你的邮箱，所以谁控制了邮箱，几乎哪里都能进。花 10 分钟检查一遍：独立密码加通行密钥或验证器、恢复邮箱和手机号都是你自己的、没有你没设置过的转发规则或过滤器，并退出所有陌生设备。
防止 SIM 卡劫持（SIM swap）：向运营商申请携号转网 PIN 或禁止补卡（常叫 Number Lock 或 SIM Protection），并给 SIM 卡本身设 PIN。如果信号无故消失，马上用另一部手机给运营商打电话。课程：邮箱和手机号：万能钥匙
第 6 步：及时更新，别点"明天提醒我"
微软在 2017 年 3 月 14 日修补了一个 Windows 漏洞。5 月 12 日，勒索病毒 WannaCry 利用同一个漏洞感染了 150 个国家的 20 多万台电脑。同一年，Equifax 因为一个早已有补丁的漏洞泄露了 1.47 亿人的数据。给手机、电脑、浏览器和银行 App 打开自动更新，也不要在已经收不到安全更新的设备上放跟钱有关的 App。课程：更新：最无聊的超能力
第 7 步：防止手机被盗
最恶劣的套路：小偷先偷看你输入解锁密码，再偷走手机，重置你的各个账号。用 6 位或更长的密码（4 位只有 1 万种组合），输入时用手挡住屏幕，并在 iPhone 上打开"失窃设备保护"，在 Android 上打开防盗保护。隐藏锁屏上的消息预览，让验证码不会露出来，只从 App Store 和 Google Play 安装 App。课程：手机：锁屏、防盗和 App
第 8 步：识别钓鱼和假客服
从右往左读网址，读到第一个"/"为止：在 binance.com.login-check.io 里，真正的主人是 login-check.io。更好的是养成一个习惯：永远不要从邮件或消息里的链接进入需要登录或付款的地方，自己打开 App 或书签。课程：钓鱼：怎么不上钩
真正的客服永远不会向你要验证码、密码或助记词，不会让你安装 AnyDesk 之类的远程控制软件，也不会让你把钱转到"安全账户"。只要听到其中一条，就挂电话。课程：假客服
第 9 步：准备好被黑后的计划
顺序比速度重要。换一台干净的设备，冻结受影响的账号（交易所可以在安全设置或 App 内客服里操作），修改邮箱密码并退出所有设备。别理会你发帖后冒出来的"加密货币追回专家"：美国联邦调查局（FBI）专门警告过这种先收费的骗局。向交易所和警方报案：被盗资金有时能被冻结。课程：被黑了怎么办
常见问题
网络安全新手应该从哪里开始？
从你自己的账号开始：每个网站一个独立密码并存进密码管理器，邮箱、银行和交易所打开双重验证（能用通行密钥就用），再打开自动更新。这能关上大多数攻击走的门，大约一个晚上就能完成。
最重要的网络安全建议是什么？
先保护好邮箱。其他所有账号的密码都通过它重置，所以要给它独立密码、通行密钥或验证器 App，并检查有没有你没设置过的转发规则。
短信双重验证安全吗？
比没有强得多，但它是最弱的一种：号码可能被 SIM 卡劫持盗走，验证码就会发到骗子手里。只要服务支持，就用验证器 App 或通行密钥。