微软安全团队最近翻了一整年的入侵日志，发现一个尴尬规律——83%的安全事件根本不是"黑客攻破防线"，而是用户亲手把钥匙递了出去。钓鱼邮件、弱密码、重复使用的凭证，这些老把戏依然稳居攻击榜首。

安全研究员把这比作"有人天天给自家大门留条缝，却抱怨小偷太狡猾"。微软在报告里写得直白：「攻击者越来越懒得搞技术突破，他们只需要等用户点错一个链接」。过去两年，基于身份的攻击增长了71%，而传统漏洞利用反而在下降。

最讽刺的数据来自企业端。那些花了七位数买安全设备的公司，员工平均每人要记27个密码，结果67%的人选择"密码123"的变体重复使用。攻击者根本不需要破解防火墙，他们只需要在暗市买一份泄露的凭证清单。

微软建议的解法听起来像常识：多因素认证、密码管理器、别用工作邮箱注册外卖账号。但报告结尾补了一句——过去一年，开启基础防护的用户比例只涨了3%。