上周三晚上我在珠江路吃皮肚面，加了份香肠，邻桌的大姐“啪”把筷子拍在碗上。
“什么破锁！三千块买的，凌晨两点自己开了！”
她叫张姐，住丹凤街的老小区，去年装修的时候听导购吹，说这款智能锁带人脸识别、远程监控，还有什么军工级加密，咬咬牙花了三千二装上。上周值夜班回家，反锁了三道，刚躺床上刷了十分钟手机，听见玄关“咔哒”一声。
门敞着。
她吓出一身冷汗，爬起来查锁的操作记录，没有指纹输入，没有密码验证，连远程开锁的日志都没有。第二天找售后，师傅上门转了两圈，说“可能是你家wifi信号不好，导致锁体误判”，收了五十块上门费就走了。
当天晚上锁又自己开了。
她不敢住了，搬去女儿家，在业主群里吐槽，结果一呼百应——同一款锁的业主，有17个都碰到过一模一样的问题。
你以为的漏洞是黑客破解，其实是厂商出厂就没给你装“安全锁”
我后来跟着张姐进了那个327人的智能锁维权群，蹲了整整两周。
群里什么离谱的事都有：有小伙子租的房子，智能锁被陌生的手机号绑定，大半夜有人给他发消息，说“我已经把你家锁开了，给两千块我就不进去”；有阿姨家的智能猫眼，自动拍了对面楼的住户，结果被人反过来告侵犯隐私；还有人更绝，自己家的智能锁，连管理员密码都没设置过，出厂默认就是123456，他用这个密码直接登进了后台，看到了全品牌近十万台同型号锁的联网IP地址。
你没看错。
大部分物联网设备安全漏洞，根本不是什么高端黑客蹲在你家楼下蹭wifi破解出来的，是厂商为了压缩成本，直接把最基础的加密校验给砍了。
之前看某安全公司的报告，市面上流通的近40%的家用物联网设备，存在出厂默认密码未强制修改、通信链路未加密、调试接口对外开放的问题。说白了，你花几千块买的智能锁、摄像头、燃气报警器，本质上就是个没装锁的木头盒子，谁伸手都能推开。
群里有个做嵌入式开发的小伙子，自己买了同款锁拆了，扒出来固件里藏着的隐藏调试接口——只要给这个接口发一串固定的十六进制指令，不管你有没有密码，锁体直接弹开。他把这个漏洞报给品牌方，等了整整一周，收到的回复只有一句“感谢您的反馈，我们将在后续版本中优化相关体验”。
连个临时补丁都没推。
维权的时候你才发现，你连该告谁都找不到
张姐最开始找品牌方要说法，对方翻出说明书最后一页的小字给她看：“本设备的联网云服务由第三方服务商提供，因云服务导致的安全问题，本品牌不承担责任。”
她打云服务商的客服电话，对方的注册地址在深圳，客服说“我们只提供云存储服务，设备的硬件问题请找品牌方”。
皮球踢了三个来回，张姐折腾了快一个月，连个能给她明确答复的人都找不到。
我碰到过太多这种案子了。
去年有个开水果店的老板，店里装了四台智能摄像头，后来被人黑了，把摄像头画面自动跳转到收款码页面，顾客付钱的时候扫的都是骗子的码，一晚上少收了一万二。他找摄像头品牌，品牌说你自己没改默认密码，怪谁？找报警，民警说这个金额达不到立案标准，只能帮你联系平台冻结骗子的账户。
谁的错？
说不清楚。
按照现在的法律规定，物联网设备的安全责任，是按“谁生产谁负责、谁服务谁负责”来划分的，但真碰到事的时候，品牌把硬件和软件拆成两个主体，云服务商把存储和通信拆成两个模块，你要追责，得先把十几份合同翻完，搞清楚到底是哪个环节出的问题，光这一步，普通人就得花好几个月的时间。
现在的规则，根本追不上你家连的设备跑的速度
我上周去新小区做调研，走进一户人家，数了数，连wifi的设备有17个：智能锁、摄像头、智能音箱、扫地机器人、燃气报警器、智能晾衣架、甚至连冰箱和空调都能联网。
这些设备，你买的时候，导购只会跟你说“能手机控制，方便”，没人会跟你说“这个设备有个没补的安全漏洞，可能会被人远程控制”。
之前有个做智能家居的朋友跟我说，现在大部分厂商做物联网设备，70%的预算都花在了外观设计、语音交互、营销推广上，留给安全模块的预算，连5%都不到。毕竟安全这种东西，你没出事的时候，根本感知不到它的存在。
没人会为了一个“看不见的安全”多花钱。
但漏洞不会因为你看不见就不存在。
上个月杭州有个住户，家里的智能窗帘被人远程控制，半夜自动开，对方还通过智能音箱跟他说话，吓得他连夜把所有联网设备都拔了。还有更离谱的，有个妈妈给孩子买的智能故事机，被人黑了之后，自动给孩子讲恐怖故事，你说这叫什么事？
上周张姐终于把智能锁换了，花两百块买了个普通的机械锁，她说“还是这个踏实”。
我前阵子看到南京消协在做试点，要求所有在售的物联网设备，必须像家电的能效标识一样，贴个“安全等级标”，把设备有没有强制加密、有没有已知的安全漏洞、出过多少次安全事故，都明明白白写在上面。
现在还只是试点。
但总比之前啥都没有强。
你说呢？
