账号被盗，并不意味着你被黑客“精准狙击”了。
大多数失窃案例源于“撞库攻击 (Credential Stuffing)”：黑客获取某个第三方平台的泄露数据库后，利用自动化脚本在各大主流网站批量尝试相同的邮箱和密码。如果你习惯在多个平台复用同一套密码，那么只要其中一个环节泄露，你的全网账号都将面临风险。
为了帮你快速排查风险，我们整理了 5 个权威的泄露自检工具，以及一套高效的“10 分钟止损清单”。
一、关键认知：泄露 $neq$ 被盗用
在自检之前，必须区分两个核心概念，避免不必要的恐慌或掉以轻心：
- 泄露 (Breached)： 你的信息已进入黑客的数据库（公开或交易中），这意味着你已成为攻击者的“潜在目标”。
- 被盗 (Compromised)： 攻击者已成功利用泄露信息登录你的账号，并可能完成了篡改信息或资金盗刷。
风险放大器：密码复用。 如果你的银行账户与某个小众论坛共用同一密码，那么论坛的泄露就等同于银行账户的直接威胁。
二、5 个推荐的自检工具
🛡️ 安全警示： 正规的泄露查询仅需输入邮箱或用户名。任何要求你输入“当前密码”的查询网站均为钓鱼陷阱，请立即关闭。
1. Mozilla Monitor (火狐安全监控)
适用场景： 适合追求权威数据、需要长期监控的普通用户。
- 官网： monitor.mozilla.org
- 核心能力： 基于 Firefox 品牌，提供可靠的数据源。支持注册并开启邮件提醒，一旦未来出现新泄露将第一时间通知。
2. Have I Been Pwned (HIBP)
适用场景： 快速确认邮箱是否在已知泄露名单中。
- 官网： haveibeenpwned.com
- 特点： 全球安全行业的标杆工具。结果显示为红色 (pwned!) 时，应立即核查该泄露平台涉及的密码是否被复用于其他重要账号。
3. Google Password Manager (密码健康检查)
适用场景： Chrome 浏览器或 Android 设备用户。
- 官网： passwords.google.com
- 功能： 除了检测泄露，还能分析密码强度（是否过于简单）以及是否存在重复使用的情况。
4. Microsoft Edge Password Monitor
适用场景： Windows 办公环境及 Edge 浏览器用户。
- 功能： 微软内置的企业级防御，在 Edge 设置中开启“密码监视器”后，浏览器会自动比对暗网数据并在发现风险时弹出实时警告。
5. 进阶检索：OSINT 暴露面体检
适用场景： 安全从业者或对隐私保护有极高要求的进阶用户。
- 工具： Intelligence X 与 DeHashed
- 用途： 深度检索公开网页、存档或索引库中的邮箱相关线索。
- ⚠️ 合规提醒： 仅限用于防御性自查，严禁用于非法社工或查询他人隐私。
三、命中泄露后的“10 分钟止损清单”
如果自检结果显示账号已泄露，请按照以下 SOP（标准作业程序）快速响应：
1. 优先级最高：核心资产止损
- 死守邮箱： 立即修改主邮箱密码。邮箱是所有账号的“总钥匙”，一旦失守，所有账号的重置密码功能将失效。
- 强制开启 2FA： 启用双重验证（如 App 验证码、硬件密钥）。即使密码泄露，攻击者也无法在没有第二验证的情况下登录。
2. 切断潜伏链路
- 清理会话： 在账号设置中选择“退出所有设备 / 会话 (Log out all sessions)”，强制踢出可能潜伏的攻击者。
- 审查授权： 检查邮箱是否有异常的“自动转发”规则，并移除不认识的第三方应用授权。
3. 阻断撞库风险（按顺序修改密码）
所有复用过该泄露密码的账号必须全部更换，优先级如下：
- 资金类： 银行、支付工具（支付宝、PayPal 等）。
- 消费类： 电商、外卖、打车软件（涉及免密支付的平台）。
- 社交类： 微信、X (Twitter)、Telegram（防止被用于诈骗）。
4. 终极防御：引入密码管理器
摆脱记忆负担，使用 Bitwarden、1Password 或浏览器原生管理器：
- 为每个平台生成 16 位以上且不重复的随机强密码。
- 你只需要记住一个高强度的“主密码”即可。
- 这是对抗撞库攻击最彻底的解决方案。
小结
本指南适用于个人用户、远程办公人员及需要进行安全自查的中小团队。
网络安全没有绝对的壁垒，但可以通过构建“免疫系统”来降低风险。养成定期自检的习惯，并严格执行 “一站一密 + 2FA” 原则，即可将绝大多数的撞库威胁挡在门外。
正文完
