大规模凭据泄露之后：真正有用的密码习惯

每隔几个月，就会出现“数十亿密码泄露”之类的新闻标题。这些消息令人不安，也容易让人困惑：我的密码在不在里面？要不要把所有密码都换掉？如果我的密码已经很“复杂”，这些还重要吗？

好消息是，制定规则的机构给出的建议变得更简单，而不是更难。本文把美国国家标准与技术研究院（NIST）和英国国家网络安全中心（NCSC）的最新官方建议，转化为普通人也能做到的几个习惯。

为什么泄露规模越来越大

关于大规模泄露的新闻，往往并不是某一家公司被黑客攻破。很多报道说的是“汇编”：多年来从以往的数据泄露和感染了恶意软件的电脑中收集到的账号凭据，被拼凑在一起再四处流传。各方对这类汇编的说法不一，而标题里的数字通常统计的是记录条数，而不是不同的人，因此很难判断其中有多少是新的、或仍然有效。

对您来说，重点更简单。免费服务 Have I Been Pwned 可以查询您的邮箱地址是否出现在已知泄露事件中。我们在 2026 年 10 月 21 日查看时，它收录的被泄露账号超过 178 亿个，来自 1000 多个网站。在这样的规模下，最稳妥的做法是假设您至少有一个旧密码已经在某处泄露。

真正的危险不在于泄露本身，而在于重复使用密码。如果邮箱、银行和一个旧论坛用的是同一个密码，那么论坛一旦泄露，犯罪分子就拿到了打开其他所有账号的钥匙。他们会用程序把泄露的“邮箱 + 密码”组合自动拿到大量网站上去尝试登录。

官方建议现在怎么说

NIST 于 2025 年 7 月发布了数字身份指南 SP 800-63B-4 的最终版。它面向运营登录系统的机构，但很能说明什么才真正保护账号：

**长度比复杂度更重要。**单独作为唯一验证因素使用的密码，至少应为 15 个字符。服务应至少允许 64 个字符，方便使用较长的口令短语。
**不强制混合字符。**服务不得要求“必须包含一个大写字母、一个数字、一个符号”之类的规则。这类规则往往产生像“Summer2026!”这样容易被猜到的密码。
**不定期强制更换。**服务不得要求用户按固定周期更换密码，但在有证据表明密码已被泄露时，必须要求更换。
**黑名单检查。**服务必须把新密码与常见的、容易被猜到的或已经泄露的密码列表进行比对。
**欢迎使用密码管理器。**服务必须允许使用密码管理器和自动填充，并应允许粘贴。
设置密码时不使用提示和安全问题。

NCSC 的说法类似，而且更通俗：把三个随机单词组合起来，就能得到足够长、足够强的密码，例如三个互不相关、但能在脑海中串成画面的词。NCSC 也鼓励使用密码管理器。

真正有用的五个习惯

1. 一个账号一个密码

这是最重要的一条。每个账号使用不同的密码，某个网站泄露就只会影响这一个网站。

2. 密码要长

可以用三个或更多随机单词，也可以用生成器生成一长串随机字符。我们的密码生成器在您的浏览器中利用密码学安全的随机数生成密码，页面从不通过网络发送密码。长度比多加几个符号更重要。

3. 交给密码管理器来记

没有人能记住几十个各不相同的密码。密码管理器会帮您保存、自动填写，还能生成新密码。请用一个在别处从未用过的长口令保护密码管理器本身，如果它支持两步验证，也请开启。

4. 给邮箱最强的保护

NCSC 建议为邮箱设置一个强度高且独立的密码，因为谁控制了您的邮箱，谁就能重置您大多数其他账号的密码。请把邮箱当作您的“万能钥匙”来对待。

5. 开启两步验证

两步验证（2SV，也称双因素认证）会要求您提供第二重证明，例如验证器应用里的验证码或手机上的确认提示。NCSC 表示，即使犯罪分子知道您的密码，两步验证也能阻止其登录您的邮箱。请先为邮箱开启，然后是银行、社交媒体和购物账号。

如何确认自己是否受影响

**在 Have I Been Pwned 上查询您的邮箱地址。**它会显示该地址出现在哪些已知泄露事件中，以及泄露了哪些类型的数据。
**利用密码管理器的检查功能。**很多密码管理器会提示重复、过弱或已泄露的密码。
**留意异常迹象：**陌生的登录提醒、您没有申请过的重置密码邮件，或朋友说收到了“您”发的奇怪消息。

出现在泄露名单上，并不意味着此刻有人正在使用您的账号，而是意味着这个密码应当被视为已经公开。

泄露之后该做什么

更换已泄露的密码，包括该网站以及所有使用了相同或相似密码的网站。
从邮箱开始，然后是金融类账号，最后是其他账号。
顺便开启两步验证。
如果服务支持，退出其他设备上的登录，并检查账号恢复方式（备用邮箱、手机号）。
**警惕随后而来的消息。**泄露事件之后常有钓鱼邮件，它们会提到这次泄露，显得更可信。请直接访问网站，不要点击邮件中的链接。

不必因为一条耸动的新闻，就去更换健康且独一无二的密码。NIST 的指南说得很清楚：目标不是定期更换，而是在有泄露证据时更换。

VPN 能做什么，不能做什么

VPN 保护的是您的网络连接，例如在公共 Wi-Fi 上，它可以让网络运营方看不到您访问了哪些网站。但它保护不了已经泄露的密码，也无法阻止别人用这个密码登录。保护账号靠的是强而独立的密码和两步验证；像 VPNRice 这样的 VPN 保护的是数据传输的路径。关于网络方面，请参阅我们的公共 Wi-Fi 安全指南。