学校刚开学那阵子，王老师正准备上传新学期的课件，结果发现教务系统登录不上。页面一闪而过一个奇怪的提示：‘数据库连接失败’。她没多想，以为是网络卡了。可隔壁办公室的李主任却警觉起来——昨天他收到一封邮件，标题写着‘紧急通知：教师信息核对’，点进去却要输入校园网账号密码。
一次演练暴露真实风险
这其实是区教育局组织的一次网络安全演练。那个‘紧急通知’邮件是模拟钓鱼攻击，而教务系统“崩溃”，是红队在测试漏洞响应速度。事后复盘发现，有近三成老师点了测试链接，两所学校的核心系统在15分钟内被模拟攻破。
很多人觉得学校不是银行，黑客不会盯上。可现实恰恰相反。学生的姓名、身份证号、家庭住址、父母联系方式，这些信息在黑市上明码标价。一套完整的中小学生数据包，能卖到上百元。更别说考试成绩、监控视频、财务系统这些敏感内容。
演练不是走过场
有些学校把演练当成应付检查。发个通知，开个会，群里发个‘已学习’就完事。真正的演练得动真格。比如模拟勒索病毒爆发：某天早上，公告屏突然弹出加密提示，所有教学资料被锁，要求支付虚拟货币解密。这时候看谁第一时间断网隔离，谁还在到处问‘是不是电脑坏了’。
还有模拟家长群诈骗。攻击者伪装成班主任，在班级群里发缴费链接：‘本学期资料费280元，请扫码支付’。如果没人核实，几分钟内就可能有家长转账。这种事现实中已经发生过不止一次。
<script>
alert('您的账户存在异常登录，点击验证');
window.location.href = 'http://fake-login.edu.cn';
</script>上面这段代码，就是典型的钓鱼脚本。它会弹窗诱导用户跳转到伪造的登录页。在演练中，可以嵌入测试环境，观察有多少人会输入账号。结果往往让人后背发凉。
从键盘到门禁，处处都是防线
网络安全不只是IT部门的事。实验室的打印机连着内网，清洁阿姨随手插了个U盘清灰；体育老师把写有密码的便签贴在显示器边角；机房门禁常年敞开，学生进出如入无人之境。这些细节，都是演练中要重点排查的。
一所小学在演练中发现，他们的监控系统后台仍使用默认密码admin/123456。攻击者通过搜索引擎就能直接访问实时画面。改完密码那天，校长说了一句实在话：‘以前总觉得这事离我们很远，现在知道，危险可能就在隔壁教室。’
教育系统的安全演练，不该是每年一次的‘消防演习’。它得像每天打卡一样自然。老师收到陌生邮件先犹豫三秒，学生发现异常网站主动报告，管理员定期检查日志——这些习惯，比任何高大上的防火墙都管用。