每天打开电脑，邮箱、文档、会议软件一个接一个启动，这些办公必备应用确实让工作变快了。可你有没有想过，它们也可能成了黑客的跳板？
你以为的效率工具，可能是数据泄露源头
小李是市场部的，习惯用一款免费的在线表格整理客户信息，还分享链接给同事协作。直到某天收到IT部门通知：公司邮箱系统检测到异常外发邮件，源头正是那份共享表格——它被嵌入了恶意脚本，自动收集访问者的登录凭证。
这种事并不罕见。很多“办公必备应用”为了方便，默认开启公开访问或弱密码策略。比如某些云盘链接设置成“任何人可查看”，一不小心就把财务报表扔进了公网。
别乱装插件，尤其是浏览器里的
写PPT时想快速找图，顺手装了个“一键素材”插件；填表时加了个“自动填充姓名电话”的工具。这些看似省事的小工具，往往要求“读取所有网页数据”。一旦授权，你在银行后台输入的信息、内部系统的账号密码，全可能被悄悄传走。
检查一下浏览器已安装的扩展程序，那些名字花哨、评分低、下载量少的，建议直接删掉。正规办公软件如Office 365、飞书、钉钉提供的官方插件才相对可信。
双重验证不是摆设，得真用起来
很多人设了密码就以为高枕无忧，但单一密码在撞库攻击面前不堪一击。像企业微信、Google Workspace这类平台，务必开启双重验证（2FA）。哪怕手机丢了，至少还有时间窗口去冻结账户。
推荐使用认证器App而不是短信验证码。像Google Authenticator或Microsoft Authenticator生成的动态码，不依赖手机号，避免SIM卡劫持风险。
本地文件也得设防
有人喜欢把合同草稿存在桌面，临时共享给合作方时用微信直接发送。这样做等于裸奔。正确的做法是：加密压缩，设置独立解压密码，并通过企业网盘发送下载链接，设置72小时后自动失效。
Windows用户可以用自带的BitLocker加密整个文档文件夹，Mac则开启FileVault。一旦设备丢失，硬盘被拆走也无法轻易读取内容。
API密钥别硬编码在脚本里
开发同事常犯的一个错：为了跑自动化任务，在Python脚本里直接写上企业邮箱的API密钥。
requests.post("https://api.mail.company.com/send", headers={"Authorization": "Bearer eyJhbGciOiJIUzI1NiIs..."})这种代码一旦误传到公共GitHub仓库，等于把大门钥匙贴在墙上。应该使用环境变量或配置中心管理敏感信息。
定期清理授权应用列表
登录你的邮箱账户，进入“安全设置”里的“第三方应用授权”页面。你会发现一堆早已不用的服务仍拥有访问权限。比如半年前试用过的某个日报生成工具，还在读取你的日历和邮件。
把这些僵尸权限全部移除。每季度查一次，就像清理衣柜一样必要。