过去十年，关于「远程办公」的讨论大多围绕生产力、时区和生活品质。真正被轻描淡写带过的，其实是信息安全。当一位工程师从上海的家里出发，先落脚清迈的联合办公空间，再转到里斯本的咖啡馆，他背在肩上的那台笔记本，事实上就是整间公司的缩影：客户资料、源代码、财务凭证、金融签章、身份凭证，全都装在里面。过去这些资产被锁在办公楼的防火墙和门禁之内，如今被塞进一个 1.4 公斤的铝壳里，走过机场安检，接入不知名的免费 Wi-Fi。

这不是危言耸听。ScienceDirect 在 2025 年发表的一份 VPN 安全态势研究指出，2020 至 2022 年远程办公规模扩张的同时，针对 VPN 服务本身的攻击也显著上升。过去被视为「安全方案」的工具，反而成了攻击入口。这个结构性变化说明一件事：安全已经不再是公司 IT 部门单方面处理的话题，它跟着数字游民的行李箱一起，变成个人基础设施的一部分。

为什么「这是公司的事」这句话已经过时

在传统办公室里，员工的安全责任大致到「别点奇怪的邮件」为止。剩下的都由公司处理：网络是公司的、设备是公司配的、备份是 IT 做的、凭证是安全部门管的。数字游民的情境刚好相反。

当工作地点从办公室搬到咖啡馆、联合办公空间、民宿、酒店大堂，网络环境的信任模型瞬间瓦解。使用者无法确认 SSID 背后到底是谁架的设备、无法确认上游 ISP 有没有做流量检查、无法确认联合办公空间的路由器有没有被入侵。这时候「公司 IT 会处理」这句话就失灵了，因为公司 IT 根本看不到这些网段。

更关键的是身份认证。远程环境下，公司无法从 IP、物理位置或设备归属去判断「这次登录是不是本人」。整条防线因此被压到账号、密码、多因素认证和设备凭证这几个薄弱环节上。数字游民自己不重视，公司再多的安全政策也撑不住。

公共 Wi-Fi 的真实风险，比想象中无聊，也比想象中危险

关于公共 Wi-Fi 的讨论，常常在两个极端之间摆动：一边说「HTTPS 已经足够，不用担心」，另一边说「一连公共网络就等于被盗」。实际上，两边都不完全对。

现代网站几乎全面使用 TLS，抓取明文数据包的时代确实过去了。但这不代表公共网络没有风险。真正的问题不在于「被监听」，而在几个更平淡的层面：DNS 劫持会把用户引导到假的登录页，路由器层的证书注入会让钓鱼页看起来很像真的，captive portal 常常诱导用户关闭防护，联合办公空间里任何一台被入侵的设备都可能对同网段机器进行扫描。

对数字游民来说，比较合理的策略不是「绝对不用公共 Wi-Fi」，而是「假设所有公共网络都不可信」。这意味着：关键操作（银行、税务、公司管理后台）尽量用手机热点；笔记本打开防火墙并阻挡入站连接；不在公共网段广播文件共享或 AirDrop；重要凭证不要在陌生网络上第一次登录。

VPN 不是万能药，它只是一段加密隧道

许多数字游民把 VPN 当成安全体系的核心。这是一种过度简化的想法。VPN 提供的只是一段从设备到 VPN 服务器的加密通道，它不会让你的账号更难被盗、不会阻止钓鱼、也不会防止设备本身被植入恶意程序。

前面提到的 ScienceDirect 研究还点出另一个问题：VPN 服务本身正在成为攻击目标。从企业级 VPN gateway 的零日漏洞，到消费级 VPN 服务商的数据泄露，数字游民对 VPN 的信任，等于把自己所有流量的信任委托给另一家公司。如果那家公司的运营、司法辖区、日志政策不透明，这份委托就是有风险的。

比较务实的看法是：公司 VPN 用于访问内部系统，这是合规需要；商业 VPN 用于绕过地理限制或在敌意网络上加一层防护，这是工具用途。两者都不应该被当成「装了就安全」的万能防线。真正撑起数字游民安全的，是身份认证和设备本身。

多因素认证：从「有做」到「做对」

几乎每一份远程办公安全指南都会提到 MFA。问题是很多人做到了 MFA，但用的是最脆弱的那一种。

以短信接收验证码为例，这是最普及也是最容易被攻破的方式。SIM swap 攻击在很多国家已经成熟到近乎产业化，攻击者一旦接手手机号码，短信 MFA 就完全崩溃。数字游民长期在海外，换 eSIM、开漫游、办当地号码的频率高，本国号码被挂失、变更、盗办的风险比一般人大得多。

比较合理的层级是：使用硬件安全密钥（例如 YubiKey）或平台原生的 passkey 作为主要 MFA，把 authenticator app 当作备用，仅在极端情况下使用短信，并在关键账号（邮箱、公司 SSO、银行、密码管理器）上完全停用短信 MFA。此外，备用码要离线保存，不要放在同一台设备的云笔记里。

设备本身：加密、丢失、盗窃、边境检查

数字游民面对的设备物理风险，比在办公室要大得多。酒店房间、网约车、机场候机区、联合办公空间的储物柜，都是笔记本消失的高风险场景。设备一旦离开视线，安全模型就必须假设它可能落入他人之手。

三件事必须是基本盘：全磁盘加密（macOS FileVault、Windows BitLocker、Linux LUKS）在关机状态下不能省；开机密码与系统密码分离，避免单一密码被肩窥后全盘失守；设置闲置自动锁屏，时间控制在几分钟量级。此外，远程擦除（Find My、Intune、MDM）应该在出发前就测试过，而不是丢失当下才发现没开启。

边境检查是另一个容易被忽视的情境。部分国家的海关有权解锁检查电子设备。对承接敏感客户资料的数字游民来说，最务实的做法是：入境前登出敏感账号、清空浏览器活跃 session、把非必要的文件先转到云端而不是本地、备一台「干净」的旅行设备。这不是偏执，而是对客户资料的基本尊重。

云端与身份：真正的攻击面在这里

当大多数工作都跑在 SaaS 上，攻击者早就不再瞄准你的笔记本硬盘，他们瞄准的是你的云端账号。邮箱、Google Drive、Notion、GitHub、Figma、Stripe、公司 SSO，这些账号被入侵的价值远高于一台实体设备。

数字游民需要建立的心智模型是：账号本身就是资产，而且是流动资产。这意味着几件事：主账号（通常是邮箱）必须是整个身份体系里防护最强的那一个；密码管理器不再是「加分项」而是基本工具，长期不重复密码是最低门槛；重要 SaaS 应该开启登录通知，并定期检查 active session 与 OAuth 授权清单，把不再使用的第三方应用撤销授权；公司账号与个人账号要严格分离，不要把个人 Gmail 绑进客户项目，也不要用公司 SSO 登录个人服务。

当账号被视为资产时，备份也要跟着设计：主邮箱要有备用邮箱与离线备用码、密码管理器要有紧急联系人或安全继承机制、公司 SSO 账号被停用时个人不能同时失去所有工作文件。这些设计在平常看不出价值，在设备丢失或账号被入侵的第一个小时里就会决定损失规模。

客户资料：合同写得比你想象的多

自由接案的数字游民常常忽略一件事：客户合同里通常对数据处理有明确要求。GDPR、HIPAA、金融行业合规、企业客户内部的 vendor security assessment，都会规定数据存储位置、加密要求、访问控制、事故通报时限。这些条款不会因为承接者是一个坐在巴厘岛咖啡馆的个人工作者就自动失效。

务实的做法是把「客户数据处理」当成一个独立的工作区来设计：专属的文件夹与加密卷、专属的密码库分区、专属的云端目录（并确认云端服务器的地理位置符合合同要求）、离职或结项后有明确的数据销毁流程。这些看起来像大公司才需要的东西，但当数字游民服务的客户越来越企业化，这些要求会直接写进合同，不做就是违约。

建立个人安全基线，比追求完美更重要

安全领域最常见的错误是「因为做不到完美所以什么都不做」。对数字游民来说，比较有效的心态是先建立能天天执行的基线，再逐步加强。

一份可行的个人基线大致包括：所有设备开启全盘加密、闲置自动锁屏、操作系统与浏览器保持自动更新；主要账号启用硬件密钥或 passkey 的 MFA；密码管理器覆盖所有服务、备用码离线保存；工作与个人账号分离、关键操作避开陌生 Wi-Fi；定期检查云端授权与 active session；离开联合办公空间或酒店前确认设备没有留在现场。这份清单不长，但如果每一项都真的落实，已经比市场上大多数自由职业者要安全得多。

在这之上，才是根据客户类型、旅行国家、数据敏感度去叠加防线：敏感项目使用专属设备、进入监管较严的国家前做数据清理、承接金融或医疗客户时额外投保职业责任险。这是分层式的思考，不是全有或全无。

安全是数字游民生活的隐形履历

最后值得讲清楚的是：对成熟的数字游民来说，安全不是负担，而是专业形象的一部分。当一位工作者能在合同谈判时明确说出自己如何处理客户数据、能提供加密与备份的具体方案、能承诺在事故发生时的通报时限，这些能力本身就是议价筹码。反过来，把客户资料放在公用电脑、用同一组密码登录所有服务、在酒店大堂裸连公司后台的数字游民，迟早会用一次事故把过去几年的口碑全部清零。

笔记本是数字游民的办公室，也是数字游民的名片。办公室要上锁、要有备份、要有访客政策，这件事在城市里是常识，在数字游民生活中不会变得不重要，只会变得更难执行。承认这件事，是走向成熟数字游民的第一步。