如何确认密码是否泄露｜发现泄露后首先要做的事

泄露发生在服务方，而不是你的设备

看到泄露警告，很多人第一反应是自己的设备中了病毒。但实际上更常见的情况是：你使用过的服务方批量泄露了账号信息，这份名单随后被四处传播。即使你自己的操作毫无问题，也可能发生。

既然第 1 行无法由自己防范，对策的重点就不是“不让泄露”，而是“泄露后不扩散到别处”。如果在多个服务中使用同一个密码，一处泄露几乎就等于所有账号都泄露了。

确认是否泄露的 4 种方法

确认的方法有好几种。不要只看其中一种就放心，按从上到下的顺序逐一查看，遗漏会更少。

1. 1

   查看浏览器或系统的密码检查功能

   主流浏览器和智能手机系统都有检查已保存密码是否出现在泄露名单中的功能。可在设置里的密码管理页面运行，它会列出有风险的、重复使用的和强度弱的密码。先打开这里是最快的。

2. 2

   查看服务方的通知

   确认发生泄露时，运营方可能会发出通知。但伪装成通知的钓鱼邮件也很多，不要点邮件中的链接，请自己打开官方网站或应用查看公告。

3. 3

   查看登录记录和会话

   主流服务都有可查看最近登录时间、地区和设备的页面。如果有陌生的地区或设备，那里就是已经出现实际损害的地方。在同一页面可以逐个强制退出不明会话。

4. 4

   用泄露查询服务核对

   有些服务只需输入邮箱地址，就能查询它是否出现在过去公开的泄露数据中。请选择运营方可靠的服务，并务必确认它不会要求你输入密码本身。

即使没有收到通知也应警惕的迹象

泄露从发生到公布可能需要一段时间，也可能在未公布的情况下就被滥用。即使没有出现警告，遇到下面这些情况也应作为确认的契机。

• 收到不是自己发起的“是否批准登录”通知或双重验证码。说明有人能输入正确的密码。
• 自己没有操作，却收到了重置密码的邮件。
• 已发送文件夹里有不是自己发出的邮件。
• 登录记录中有陌生的记录，或者被莫名其妙地退出登录。
• 垃圾邮件比平时突然增多。这有时说明邮箱地址已被传播。
• 社交网站上出现了自己不记得的发帖或关注。

尤其是第 1 条，紧急程度很高。收到验证码时，对方已经知道密码，只剩双重验证这最后一道墙。此时绝对不要输入或告诉别人验证码，请立即修改密码。

发现泄露后的处理顺序

想一次全部修改会花很多时间，其间损害可能扩大。请从影响大的开始依次处理。

1. 1

   最先修改邮箱账号

   邮箱是其他服务重置密码时的接收地址。这里被夺走的话，其他的改得再多也会被夺回去。顺序上一定要放在最前面。

2. 2

   修改所有重复使用了同一密码的服务

   只改泄露源是不够的，撞库攻击会拿同样的信息去试其他服务。只是多加了一个数字或符号的相似密码，也要当作同一个密码对待。

3. 3

   修改与金钱直接相关的服务

   网上银行、支付服务、购物网站。同时确认登记的支付方式和收货地址有没有被改动。

4. 4

   强制退出所有不明会话

   即使改了密码，已经登录的设备也可能仍然保持登录。请执行相当于“退出所有设备”的操作。

5. 5

   开启双重验证

   这样即使密码泄露，仅凭这一点也无法登录。恢复码请打印出来等，保存在网络以外的地方。

6. 6

   新密码要随机生成

   自己重新想的话，往往会和以前的形式差不多。用密码生成工具为每个服务生成不同的 16 个字符以上的字符串，保存在浏览器或密码管理功能中。需要记住的只有打开它的那一个。

冷静下来后的防范措施

紧急处理结束后，要建立起下次再发生同样的事也不会扩散的状态。做到这一步，泄露通知才会变成“确认一下就好”的事。

另外，在没有泄露迹象的情况下仍定期不断修改密码的做法，现在已不被积极推荐。因为强制定期修改容易导致只改末尾数字的弱密码模式。应当修改的时机可以理解为两个：怀疑泄露时，以及整理重复使用的密码时。

常见问题

有办法确认密码是否泄露吗？

首先打开浏览器或智能手机系统自带的密码检查功能。它会列出已保存的密码中是否有出现在泄露名单里的，以及是否有重复使用或强度弱的密码。同时在各服务的登录记录中确认有没有陌生的地区或设备。也有输入邮箱地址即可与泄露数据核对的外部服务，但连密码也要求输入的网站请不要使用。

出现“密码已泄露”的警告是真的吗？

在浏览器或系统设置页面中显示的警告，是把已保存的密码与已知泄露名单核对后的结果，可以信任。而如果是邮件或网页弹窗中出现警告，并在链接中要求登录，则可能是网络钓鱼。拿不准时不要打开收到的链接，请通过书签或官方应用自己打开服务进行确认。

发现泄露后，应该先修改哪个账号？

首先是邮箱账号。邮箱是其他服务重置密码的接收地址，这里被控制的话，改了其他的也会被夺回。其次是重复使用同一密码的服务，然后是与金钱直接相关的服务。修改后用相当于“退出所有设备”的操作断开会话，并开启双重验证。

收到了不是自己申请的验证码，该怎么办？

绝对不要输入或告诉别人验证码，请立即修改该服务的密码。收到验证码时，对方已经知道密码，只剩双重验证这最后一道墙。有时会同时收到“请告诉我验证码”的联系，但正规的运营方绝不会询问验证码。修改后请查看登录记录，并强制退出不明会话。