2022年，一家做物流的中小企业被黑客入侵，财务系统里的50万资金被转走。公安局网安支队来调查，查下来原因简单得令人无语：财务系统的管理员密码是admin123。

黑客用了一个自动化工具，3分钟就跑出了这个密码。进去以后，提权、横向移动、找到财务系统，整个过程不到2小时。50万就这么没了。

弱口令，是企业网络安全中最容易被忽略、却又最致命的漏洞。

弱口令到底有多普遍

某安全公司做过一次测试，扫描了10万家企业的对外暴露的服务，发现37%的远程桌面服务使用的是弱口令。最常见的弱口令TOP10：123456、admin、password、111111、qwerty、12345678、123456789、abc123、123123、admin123。

很多企业买了防火墙、装了杀毒软件、做了等保测评，结果一个弱口令把前面的所有投入全废了。这就像你家装了防盗门、监控摄像头，但钥匙藏在门垫下面。

黑客怎么用弱口令入侵的

方式一：暴力破解。用自动化工具，每秒尝试几千个密码组合，直到试出来为止。一个6位纯数字密码，现代GPU几秒钟就能跑完。

方式二：字典攻击。不用随机组合，而是用一个”密码字典”——包含常见的弱口令、 leaked passwords from previous breaches、以及跟目标相关的词汇（比如公司名、老板名字）。字典攻击比暴力破解效率高得多。

方式三：撞库攻击。黑客手里有 millions of leaked username-password pairs from previous data breaches。他们用这些组合去尝试登录其他网站。很多人所有网站都用同一个密码，A网站泄露了，B网站也跟着遭殃。

那家物流公司的admin123，属于典型的字典攻击目标。任何自动化的字典里都有admin123这个组合。

弱口令危害不只是丢钱

很多人觉得：弱口令最多就是被人登录看看，能有多大损失？实际上，弱口令往往是连锁攻击的起点。

第一步：拿到一个普通账号。比如企业邮箱的弱口令账号。

第二步：用这个账号发钓鱼邮件。因为是从企业内部邮箱发出的，其他员工更容易相信。更多人中招。

第三步：拿到更高权限的账号。比如IT管理员的账号。有些企业的密码策略是”各部门密码统一格式”，普通员工密码是”部门名+123″，管理员密码是”admin+部门名+123″。拿到一个就能推导出其他。

第四步：进入核心系统。财务系统、客户数据库、源代码仓库。想干嘛干嘛。

我见过一个案例：黑客先是通过弱口令进入了一个企业的内部论坛，然后发现论坛数据库跟HR系统用的是同一个数据库账号。通过这个账号，拿到了全公司200多人的个人信息，包括身份证号、银行卡号。最后勒索80万，不然就公开数据。

企业级密码策略应该怎么做

个人用密码管理器就够了，企业不行。企业需要一套完整的密码策略：

密码复杂度要求：至少12位，包含大小写字母、数字、特殊符号。不要用常见的组合规律，比如”Company2024!”这种，字典里也有。

定期更换：核心业务系统每90天强制更换一次。普通系统每180天。不要设得太频繁，否则用户会用”Password1″”Password2″这种规律，反而更容易被猜。

禁止密码复用：不同系统必须用不同密码。这个靠自觉没用，要靠密码管理系统或者单点登录（SSO）。

多因素认证（MFA）：核心系统必须开。就算密码泄露了，没有第二因素（比如手机验证码、硬件令牌、指纹），黑客也进不来。

账号锁定策略：连续输错5次密码，账号锁定15分钟。防止暴力破解。

离职人员账号立即禁用：很多企业的漏洞不是来自外部黑客，而是来自前员工。离职了账号没关，或者密码没改，风险很大。

密码管理工具推荐

企业级密码管理：1Password Business、LastPass Enterprise、Bitwarden Enterprise。可以集中管理全公司的密码，自动填充，自动生成强密码。

单点登录（SSO）：用一套账号密码登录所有系统。减少员工需要记的密码数量，从而降低他们用弱口令的概率。常见的SSO方案有Microsoft Azure AD、Okta、OneLogin。

那家装admin123的公司，后来上了密码管理系统+SSO+MFA三重保障。老板说：之前觉得这些太麻烦，现在才知道，比起丢50万，这点麻烦算什么。

一个自查清单

• 所有对外暴露的服务（远程桌面、VPN、管理后台）密码是不是12位以上、复杂度够高
• 默认账号（admin、root、test）的密码有没有改
• 核心系统有没有开多因素认证
• 离职员工的账号有没有及时清理
• 密码有没有定期更换
• 有没有部署密码管理工具

弱口令是最好修、却也最容易被忽略的漏洞。修好了弱口令，你的网络安全水平就超过了80%的企业。

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

2023年5月，一家做服装批发的公司遭遇了勒索病毒攻击。周一早上员工开机，发现所有文件后缀变成了.locked，弹出一个窗口要求支付2个比特币（当时约合40万人民币）才能解密。

老板第一反应是想交钱。我阻止了他。勒索病毒付了赎金，能拿回数据的成功率不到50%，而且你付了钱就等于告诉黑客”这家公司有钱”，下次还会再来。

最后我们用72小时恢复了核心业务，没有交一分钱赎金。整个过程复盘如下。

第0-4小时：隔离，切断传播

发现勒索病毒后，第一件事不是查怎么解毒，是切断传播路径。

具体操作：立即断开所有被感染电脑的网络连接，拔掉网线、关闭WiFi。如果有服务器，服务器也要断网。勒索病毒很多是通过内网横向传播的，一台电脑感染了，10分钟内就能传遍整个局域网。

那家公司有40台办公电脑、3台服务器。我们花了一个小时，逐台检查哪些被加密了。判断标准很简单：看文件后缀有没有变、看有没有勒索通知文件。

结果：38台电脑被加密，3台服务器中2台被加密，1台备份服务器因为权限隔离幸免于难。这个备份服务器是救命稻草。

关键动作：不要重启电脑。勒索病毒很多是在内存里运行的，重启可能触发进一步的破坏行为。

第4-12小时：溯源，搞清楚怎么进来的

隔离做完了，接下来要搞清楚攻击是怎么发生的。不是为了抓黑客（基本抓不到），是为了防止二次感染。

溯源的几个方向：

• 最近有没有员工点过可疑邮件？勒索病毒最常见的传播方式是钓鱼邮件
• 有没有远程桌面暴露在外网？很多勒索病毒通过暴力破解RDP密码入侵
• 系统最近有没有打过补丁？未修复的漏洞是常见的入口
• 有没有员工下载过不明软件或者访问过可疑网站

那家公司查下来，是一个员工周五收到了一封伪装成”客户订单确认”的邮件，附件是zip文件，里面有个exe。员工点开了，当时没事，病毒在周末潜伏扩散，周一早上爆发。

找到入口后，所有跟这个入口相关的账号全部改密码，相关的端口全部关闭。

第12-24小时：评估损失，制定恢复方案

统计被加密的文件类型和数量。那家公司的情况：财务数据、客户资料、订单记录、设计稿全部被加密。幸运的是，备份服务器里有3天前的完整备份。

这里有个重要的教训：备份一定要做”离线备份”或者”不可变备份”。如果备份服务器跟生产环境在同一个网络里，勒索病毒会把备份一起加密。那家公司的备份服务器之所以没事，是因为它设置了只读权限，生产环境的服务器没有写权限。

恢复方案的选择：

• 如果有备份：从备份恢复，这是最靠谱的
• 如果没有备份：尝试用公开的解密工具。很多安全公司（如卡巴斯基、Emsisoft）会针对特定勒索病毒发布免费解密工具
• 如果实在没有备份也没有解密工具：只能考虑付赎金。但这是最后的选择，成功率不高

那家公司有备份，决定从备份恢复。但3天的备份意味着最近3天的数据会丢失。财务部门紧急统计最近3天的手工单据，尽量补齐。

第24-48小时：恢复系统和数据

恢复过程分几步：先恢复服务器，再恢复关键业务系统，最后恢复办公电脑。

服务器恢复：备份服务器的数据复制到新搭建的服务器上。新服务器要全新安装操作系统，不能直接用原来的系统镜像，因为原来的系统可能被植入了后门。

业务系统恢复：ERP、财务系统、客户管理系统，按优先级逐个恢复。每恢复一个系统，先做一次安全扫描，确认没有残留病毒。

办公电脑：被加密的电脑全部重装系统。数据从备份中拷贝回来。不要尝试解密，重装备份是最快的。

那家公司的ERP系统最大，数据库有80GB，恢复花了6个小时。财务系统次之，2小时。客户管理系统1小时。办公电脑批量重装，IT部门加上我们外援，4个人同时操作，20台/小时。

第48-72小时：加固，防止再来

恢复了业务还不够，必须加固，不然黑客换个方式又来了。

加固措施：

• 所有系统补丁打到最新，特别是Windows系统的SMB漏洞补丁
• 远程桌面全部关闭外网访问，必须通过VPN才能连入内网
• 员工邮箱开启高级垃圾邮件过滤，钓鱼邮件识别
• 网络分段：财务、生产、办公分不同网段，一个网段感染不影响其他
• 部署终端安全软件，实时行为监控，发现异常立即隔离
• 备份策略升级：每天增量备份、每周全量备份、每月离线备份到异地

那家公司的老板后来跟我说：这次事件最大的教训不是技术层面的，是意识层面的。以前觉得网络安全是大公司的事，我们这种小公司不会被盯上。其实恰恰相反，小公司安全弱，黑客更喜欢挑软柿子捏。

72小时恢复上线，没有交赎金，靠的是三个前提：及时发现、备份可用、有专业团队响应。这三个前提，90%的小公司至少缺两个。

勒索病毒不是会不会来的问题，是什么时候来的问题。提前做好备份、做好隔离、做好培训，来了也不怕。

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

2021年，一家做在线教育的公司找我咨询等保测评。他们的系统存储着30万学生的个人信息，包括姓名、身份证号、学校、成绩。老板说：我们从来没被攻击过，等保是不是可以缓缓？

我说了三句话：第一，没遭受过攻击不代表安全，可能只是你暂时不值得被攻击。第二，等保不是可选项，是法律强制要求。第三，真出事了，没做等保和做了等保，处罚力度差10倍。

老板听完，马上启动了等保流程。

等保是什么，为什么法律强制要求

等保全称”网络安全等级保护”，是中国网络安全的基本制度。2017年《网络安全法》第21条明确规定：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。

简单说：你的信息系统如果达到一定规模或者处理一定敏感数据，就必须做等保测评。

等保分五个等级。绝大多数企业系统属于二级或三级。二级是一般系统，比如普通企业官网、内部OA。三级是涉及公民个人信息、重要业务数据的系统，比如电商平台、金融系统、医疗系统、教育系统。

那家在线教育公司的学生信息系统，存储30万未成年人的信息，妥妥的等保三级。

没做过等保的企业有多少

说出来你可能不信。据不完全统计，中国需要做等保测评的系统中，实际完成测评的比例不到30%。大量企业要么不知道要做，要么抱着侥幸心理拖着不做。

但监管越来越严了。2023年以来，各地网信办、公安局网安部门加大了对未做等保企业的检查和处罚力度。北京、上海、广东都已经开出过多张罚单。

处罚依据是《网络安全法》第59条：不履行网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。

注意”拒不改正”和”导致危害后果”这两个关键词。没出事的，可能先警告。出事了，罚款只是开始，后面还有更严重的后果。

等保不只是为了应付检查

很多企业把等保当成”交作业”，测评过了就万事大吉。其实等保的真正价值在于建立一套完整的安全防护体系。

等保测评覆盖10个维度：物理安全、网络安全、主机安全、应用安全、数据安全、安全管理、人员管理、建设管理、运维管理、应急响应。通过测评的过程，就是帮你全面体检的过程。

我见过一家做电商的公司，做等保测评时发现他们的数据库直接暴露在公网，任何人知道IP地址就能连上去。这个漏洞他们已经存在了3年，之前没人发现。测评机构标为高危，整改后等于避免了一次潜在的数据泄露灾难。

另一个案例：一家物流公司的后台系统，管理员密码是admin123。等保测评时密码复杂度检查直接不合格。改了密码策略、加了双因素认证，三个月后他们真遭到了一次撞库攻击，因为有双因素认证，攻击没成功。

等保的作用不是保证你不被攻击，而是让攻击的成本变高、让攻击成功的概率变低。就像你家装防盗门，不能保证小偷不撬门，但大部分小偷看到防盗门就换一家了。

什么情况下必须做等保

以下几种情况，属于”必须做”，不是”建议做”：

• 存储或者处理公民个人信息的系统，特别是超过10万人以上的
• 涉及资金交易的系统，比如支付、结算、对账
• 涉及重要行业数据的系统，比如医疗记录、教育成绩、政府数据
• 对外开放互联网访问的内部业务系统
• 云服务提供商、数据中心运营商

即使你的系统目前规模小，但如果有快速扩张的计划，建议提前规划等保。系统越做越大，安全整改的成本越高。早期打好基础，后期省钱省力。

等保测评的流程和周期

完整流程大概4-6个月：

定级：根据系统功能和数据敏感度，确定是二级还是三级。

备案：到当地公安机关网安部门备案，拿到备案证明。

差距分析：对照等保标准，逐条检查现有系统哪里不符合。

整改：修补漏洞、完善制度、补充设备。这是耗时最长的环节。

测评：找有资质的测评机构现场测评，出具测评报告。

复评（三级系统）：每年至少一次复评，持续合规。

二级系统测评费一般3-8万，三级系统8-20万。整改费用视系统现状而定，差距大的可能再花几万到几十万。

那家在线教育公司，三级等保，测评+整改一共花了15万。老板说：15万保30万学生的信息安全，值。而且以后每年投标、申请资质，等保三级是硬性门槛，不做连参与的资格都没有。

没遭受过攻击，不代表安全。等保也不是可选项，是合规经营的基础。出了事再补，花的钱和精力只会更多。

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

2020年，王女士把自己注册的一家服装商标许可给了一个朋友使用。合同很简单，就一页纸：”甲方将XX商标许可给乙方使用，期限两年，费用每年5万。”双方签了字，钱也转了。

半年后，王女士在市场上发现另一个厂家也在用这个商标卖衣服。她去问朋友，朋友说：我又没转给别人，是他们自己仿的，跟我没关系。

王女士一气之下把那个厂家告了。结果厂家拿出一份文件：这是你的朋友跟我们签的转许可协议，他有权再许可。王女士傻眼了——她的原始合同里根本没写能不能转许可。

更糟的还在后面。朋友之后又授权了第三家、第四家，市场上同个商标四五个厂家在用，产品档次参差不齐。王女士的商标价值一落千丈。

这个教训说明：商标许可合同里每一个字，都可能价值几十万。

三种许可类型，差别巨大

商标法规定，商标使用许可分三种：独占许可、排他许可、普通许可。很多人签合同的时候根本不区分，以为”许可使用”就够了。

独占许可：只有被许可人能用，连商标注册人自己都不能用。这种许可方式对被许可人最有利，因为他独占市场。但对许可人来说风险最大——你自己都不能用了。

排他许可：商标注册人和被许可人都能用，但不能再许可给第三方。许可人保留使用权，但被许可人获得的是”共同使用权”，不是独占。

普通许可：商标注册人可以用，被许可人可以用，而且商标注册人还可以再许可给其他人。市场上可以同时存在多个被许可方。

王女士签的合同没有写明是哪种许可。按照法律规定，未明确约定的视为普通许可。也就是说，她的朋友有权再许可给别人——因为普通许可下，被许可人通常可以转许可（除非合同禁止）。

合同里必须写清楚的六个关键点

第一：许可类型。必须明确写”独占许可””排他许可”还是”普通许可”。一字之差，法律效力完全不同。

第二：许可范围。地域范围：是全国还是某个省、某个城市？商品范围：是某一类产品还是全品类？比如服装商标，许可给T恤用，还是外套、裤子都能用？

第三：能否转许可。除非合同明确允许，否则被许可人不得擅自将商标许可给第三方使用。这一条不写清楚，就可能出现王女士的遭遇。

第四：许可期限。起止日期要写清楚。到期后能否续展？提前终止的条件是什么？如果到期不续，被许可人能不能继续卖库存产品？

第五：质量控制条款。这是商标法明确要求的。许可人应当监督被许可人使用其注册商标的商品质量。被许可人应当保证使用该注册商标的商品质量。合同里必须写明质量标准、检验方式、不达标怎么处理。

我见过一个案例：白酒商标许可给了一家小厂，小厂为了省成本用劣质酒精勾兑。出事后消费者起诉，许可人和被许可人一起被告。法院判决许可人承担连带责任，理由是没有履行质量监督义务。

第六：备案要求。商标使用许可合同应当报商标局备案。虽然法律规定”未备案的不得对抗善意第三人”，也就是说备案不是生效要件，但不备案的风险很大。如果被许可人拿着没备案的合同去跟别人签合同，第三方可能善意取得使用权。

最容易忽略的质量监督义务

商标法第43条明确规定：许可人应当监督被许可人使用其注册商标的商品质量。被许可人应当保证使用该注册商标的商品质量。

这个义务不是可选项，是法定强制义务。如果被许可人的产品质量出了问题，许可人要承担连带责任。很多商标许可合同里根本没提质量监督的事，出事了许可人逃不掉。

正确的做法是：合同里写明产品质量标准（国家标准、行业标准或者双方约定的标准），许可人有权定期抽检，被许可人应当配合。抽检不合格，许可人有权要求整改、罚款甚至终止合同。

合同终止后的善后

合同到期或者提前终止后，被许可人就不能再用这个商标了。但现实中还有很多后续问题：

• 被许可人之前生产的产品库存怎么处理？能不能继续销售？
• 被许可人之前的宣传材料、包装物怎么处理？
• 被许可人在电商平台上的店铺名称、商品标题还带有商标，怎么改？
• 被许可人之前签的下游合同还没履行完，怎么处理？

这些问题如果不提前约定，终止后容易产生纠纷。建议在合同里写明：合同终止后被许可人有3-6个月的清库存期，之后不得再销售带有该商标的产品。宣传材料、包装物应当销毁或者返还。

许可费用的计算方式

商标许可费没有固定标准，通常根据商标知名度、许可范围、商品类别、市场行情来确定。常见计算方式：

• 固定年费：每年固定金额，最简单
• 销售额提成：按被许可人销售额的百分比提成，通常在1%-5%
• 最低保证金+提成：先交一笔最低费用，实际销售超过基数后按比例提成
• 入门费+年费：一次性付一笔入门费，之后每年再付年费

建议采用最低保证金+提成的方式。这样既能保证许可人最低收益，又能激励被许可人做大销量。

王女士后来重新找了一个合作伙伴，这次合同找了专业律师起草，8页纸，每一个细节都约定清楚。她说：上一次损失的不仅仅是商标价值，还有对市场秩序的失控。这一次，宁可多花几千块律师费，也不能再签那种”一页纸合同”了。

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

2015年，特斯拉做了一个让所有汽车行业惊讶的决定：公开所有电动汽车专利。马斯克说，特斯拉的竞争对手不是其他电动汽车公司，而是传统燃油车。让更多人做电动汽车，才能把蛋糕做大。

这个决定当时被很多人认为是”疯了”。但回头看，特斯拉没有因为公开专利而衰落，反而因为带动了整个电动汽车产业链的繁荣，自己成了最大的受益者。

不是所有技术都适合申请专利。有些情况下，开源策略可能比专利更有效。

专利保护的局限性

专利不是万能的。它有三大局限，很多人没想清楚。

第一，保护期有限。发明专利20年，实用新型10年。20年后技术进入公有领域，任何人都可以免费使用。如果你的技术生命周期很短，比如互联网产品两三年就迭代一次，专利保护的意义不大。

第二，公开换保护。申请专利必须公开技术方案，包括详细的实现方法。竞争对手看了你的专利文件，虽然不能直接用，但可以绕开你的权利要求范围，用替代方案实现类似效果。更狠的是，竞争对手可以在你专利的基础上改进，申请新的专利，反过来制约你。

第三，维权成本高。专利诉讼在中国平均耗时2-3年，律师费、诉讼费、鉴定费加起来几十万到几百万。小企业即使拿到了专利，也未必有资源去打官司。

我见过一个做软件的小团队，花了一年时间申请了一项算法专利。结果产品上市后，竞争对手直接抄了核心功能，改了个界面就上线。团队想去起诉，一打听诉讼费用，放弃了。

开源策略能带来什么

开源不是”白给”。正确的开源策略能带来专利给不了的好处。

建立行业标准。如果你的技术开源后成了行业通用方案，其他企业自然会围绕你的技术做配套。你成了生态的中心，话语权比专利还大。Linux、Android、TensorFlow都是这个逻辑。

吸引人才和合作。开源项目能快速积累社区影响力，吸引开发者参与。人才来了，bug修得更快，功能迭代更快。而且开源项目更容易拿到融资，投资人喜欢有社区基础的技术。

降低用户门槛。专利技术通常需要授权费，用户选择时会犹豫。开源技术免费使用，用户基数大，后续可以通过增值服务、技术支持、云服务等商业模式变现。

构建防御性专利池。有些公司把核心专利开源，但同时保留外围专利。你用了我的开源核心，但离不开我的外围专利组合。这种模式叫”开放核心+封闭边缘”。

什么情况下适合开源

不是所有技术都适合开源。以下几种情况，开源可能比专利更有效：

• 技术迭代极快，专利保护期还没过技术就过时了
• 技术需要整个行业一起用才能产生网络效应，比如通信协议、数据格式
• 商业模式不是靠卖技术，而是靠技术服务、云部署、定制开发
• 技术本身难以绕开，开源后可以成为事实标准
• 团队资源有限，没能力做专利布局和维权

几种情况不建议开源：

• 核心技术是公司的唯一壁垒，开源后竞争对手直接拿走
• 技术可以直接变现，比如芯片设计、制药配方
• 行业对手强大，开源后可能被大公司吞并生态
• 技术涉及国家安全、商业机密等敏感信息

开源许可证的选择很关键

如果你决定开源，许可证不是随便选的。不同的许可证，对你的控制权影响完全不同。

MIT许可证：最宽松。别人可以随便用、改、分发，甚至可以闭源商用。只要求保留版权声明。适合希望最大化传播的技术。

Apache 2.0：比MIT多了专利授权条款。使用者如果起诉你专利侵权，他的许可证自动终止。这个条款对专利保护有一定补充作用。

GPL系列：传染性强。基于GPL代码修改后的衍生作品也必须开源。适合希望保持技术开放性的项目，但会限制商业应用。

BSD许可证：类似MIT，但更简洁。有些版本保留了”不能用原作者名义背书”的条款。

选错了许可证，后面改起来很麻烦。比如一开始选了MIT，后来发现有竞争对手闭源商用你的代码赚钱，你想改GPL？已经发布的MIT版本不能撤回。

混合策略：专利+开源

其实专利和开源不是非此即彼。很多大公司采用混合策略：

核心算法申请专利保护，外围工具和接口开源。这样既能保护关键技术，又能吸引生态参与者。

防御性专利布局：把不太核心的技术申请专利，但不打算维权，只是防止竞争对手用这些专利起诉自己。同时把核心技术开源，让竞争对手绕不开你的开源方案。

专利池+开源标准：通信行业常见。5G标准里有很多专利，但标准是开放的，任何人都可以按标准做产品，只是需要交专利许可费。

说到底，专利和开源都是工具。关键是想清楚你的商业模式是什么，技术的核心价值在哪里，然后再决定怎么保护。盲目申请专利或者盲目开源，都是资源浪费。

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

2021年，一家新茶饮品牌”茶颜观色”在社交媒体上突然火了。创始人小李还没注册商标，就急着在各平台推广，三个月积累了5万粉丝。结果商标被同行抢先注册，对方还反过来告他侵权，要求他停止使用。

小李不甘心，花了两年多打官司，诉讼费、律师费花了将近20万。最后法院判他败诉，因为对方先注册了商标。小李不得不改名、换包装、重新推广，前面投入的品牌积累全打了水漂。

这个故事听起来像特例，其实在创业圈每天都在发生。

商标法的核心原则：注册优先

中国商标法第3条规定：经商标局核准注册的商标为注册商标，商标注册人享有商标专用权。简单说，商标权是注册取得的，不是使用取得的。

有人以为：我先用了这个名字，虽然没注册，但我有”在先使用权”。这个理解是错的。在先使用权有严格限制：必须是在相同或者类似商品上，在他人申请日之前已经使用并且有一定影响。而且即使成立在先使用抗辩，你也只能在原有范围内继续使用，不能扩大经营。

更关键的是，在先使用抗辩成立的前提是你能拿出充分证据：什么时候开始用的，用了多大的规模，市场影响力有多大。大部分小企业根本拿不出这些证据。

抢注是怎么发生的

商标抢注分两种。一种是”职业抢注人”，专门盯着市场上出现的新品牌，你一火他就去注册，然后卖给你或者告你侵权。

另一种是”竞争对手抢注”。你推广得越猛，竞争对手越能看到你的品牌价值。趁你还没注册，先把商标占了，等于卡住了你的脖子。

抢注成本低得吓人。官费300元一类，代理费几百块，加起来不到1000块就能抢注一个商标。但你要把商标拿回来，异议、无效宣告、行政诉讼，一套流程下来几万到几十万都有可能。

而且商标审查周期是几个月，抢注者申请后，即使你在他之后也提交了申请，他仍然可能因为”申请在先”而获得初步审定。你的申请反而被驳回。

宣传推广和商标注册的时间差是最大风险

很多创业者的心态是：先推广试试市场反应，好了再去注册商标。这个想法在商业逻辑上没错，但在商标法律上非常危险。

从你开始公开使用这个名字，到你提交商标注册申请，中间的时间窗口就是抢注者的机会。你在社交媒体上发第一条推广内容的时候，抢注者可能已经在准备材料了。

还有人觉得：我先把名字写在产品介绍里，但不正式注册商标，应该没问题吧？错了。任何公开使用，包括社交媒体发文、产品包装、展会展示、网站上线，都暴露了你的品牌名。

更隐蔽的坑：你在某个类别使用了这个品牌，抢注者在另一个相关类别注册。比如你做茶饮，在第43类注册了，但对方在第30类（茶、咖啡、糖）注册，然后开始卖茶包，消费者以为跟你有关系。这种”跨类抢注”也很难防范。

补救措施有多难

真被抢注了，有几种救济途径，但每一种都不轻松：

异议：在对方商标初步审定公告后的3个月内提出。需要证明对方是恶意抢注，比如你们之间有业务往来、合作关系，对方明知你的存在。举证难度大，成功率不到30%。

无效宣告：对方商标注册成功后，5年内可以提出无效宣告。如果是驰名商标，不受5年限制。但无效宣告需要更充分的证据，耗时12-18个月，费用3-10万。

行政诉讼：如果对商标评审委员会的决定不服，可以去北京知识产权法院起诉。再加一年时间和几万块律师费。

还有最糟的情况：对方注册满3年了，你提无效宣告，对方抗辩说自己在真实使用。如果他能拿出使用证据，你的无效请求就可能被驳回。

正确的做法只有一个：先注册，再宣传

• 品牌名字确定后，第一时间提交商标注册申请，不要等
• 核心类别优先注册，跟业务直接相关的2-3个类别先拿下
• 注册申请受理通知书拿到后（一般1个月左右），再开始大规模推广
• 推广过程中注意保留使用证据：广告合同、销售发票、媒体报道，万一以后需要证明在先使用
• 如果预算允许，把防御性类别也注册了，防止跨类抢注

我知道很多创业者资金紧张，觉得商标注册几百块钱也是成本。但跟被抢注后的损失相比，这几百块根本不算什么。小李的茶饮品牌，前面投了十几万推广，最后因为没注册，全给别人做了嫁衣。

商标注册不是锦上添花的事，是创业的基本功。名字定下来的那一刻，商标申请就应该同步启动。

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓