拖库的钥匙往往是最简单的：企业弱口令与账号治理清单

某地市场监管局去年通报过一家制造企业的数据泄露案：黑客没搞什么高深攻击，就是拿密码字典把一台文件服务器的共享账号试出来了——密码是公司简称加123。进去之后顺藤摸瓜，拖走了十几万份客户资料和报价单，罚款加赔偿加客户流失，损失远超一台服务器。

这件事最扎心的地方在于：企业在文档加密、防火墙上花了真金白银，结果一道密码就全漏了。很多老板觉得"内网很安全，密码随便设设没事"，但攻击者眼里，弱口令是成本最低、成功率最高的入口。行业里流传一句话：一半以上的入侵，是从一个弱密码开始的。

企业账号口令的四个常见坑

坑一：共享账号满天飞。"设计共享盘账号是 designer/shangbon2024，全组都知道"——这种账号一出事，连是谁泄的都查不出来。没有个人身份的账号，就是没有责任人的门。

坑二：离职账号不回收。员工离职，电脑收了、门禁销了，但ERP、VPN、数据库的账号还活着。几个月后有人用这个账号登录内网，谁也说不清是不是本人。

坑三：一个密码走天下。员工邮箱密码和网盘、购物网站一个样。外面网站拖库一次，公司邮箱跟着遭殃，而邮箱又是重置其他系统密码的入口，一环破、环环破。

坑四：密码贴在显示器上。看似笑话，实则在车间和办公区相当普遍。制度写了"密码不得外泄"，但没给员工一个能记住复杂密码的办法，制度就是空话。

怎么治？一份能直接落地的清单

1. 账号实名化，一人一号。逐步清退共享账号，确因业务需要的（如设备登录账号），由部门负责人申请、定期改密，并纳入台账管理。

2. 强制密码策略。域控上直接下推：长度至少10位、包含字母数字符号、90天更换、不得与最近5次重复。别指望员工自觉，技术强制才是真强制。

3. 核心系统加二次验证。VPN、邮件、财务和研发系统，加一道短信或动态口令验证。密码就算被猜中，没有第二道因子也进不来。

4. 账号生命周期挂钩人事流程。离职当天，所有系统账号同步禁用。这条要做进离职流程的必勾项，而不是靠IT"想起来"。

5. 定期跑一遍弱口令扫描。用工具对全网账号做一次弱口令体检，发现一个改一个。这事每季度做一次，成本很低，收益极大。

6. 密码管不动的地方，用加密兜底。账号可能被冒用，但文件本身加了密，就算有人登进系统，拿走的文件打不开、拖出去用不了。账号治理是守门，文档加密是守货，两层缺一不可。

账号和密码是企业数据安全的地基。地基不牢，上面盖再多防御工事都是给人做嫁衣。这周就可以安排：先扫一遍弱口令，再把离职账号清一遍——这两件事，比买任何新设备都划算。