凌晨三点，我的账号在千里之外登录了：撞库到底怎么防？

先说个真事。不是段子。

前阵子我表姐的某电商账号突然给她发短信，说在北方某城市登录。她人还在南京，手机也没丢。她第一反应是：平台泄露了吧？第二反应是：我密码这么复杂，怎么可能？

结果一查，她那个密码，跟三年前某个小论坛的密码一模一样。那个论坛早黄了，数据包却在网上飘着。别人拿着邮箱加旧密码，去电商、支付、社交、邮箱，挨个试。试中了。这叫撞库。

黑客撞库尝试登录多个网站账号示意图

是不是有点后背发凉？别急，这事儿比你想的笨，也比你想的狠。

撞库不是“黑进你手机”，它是拿旧钥匙挨个试门

很多人把黑客想成电影里那种，噼里啪啦敲键盘，屏幕上绿色代码飞滚。现实里，撞库的门槛低到离谱。

原理就一句话：用一批从A网站泄露出来的账号密码，去B网站、C网站、D网站批量尝试登录。因为很多人图省事，所有平台用同一个邮箱、同一个手机号、同一个密码。A网站被脱库，等于你家的备用钥匙被人捡到了。然后他拿着这把钥匙，去你常去的每一扇门前晃一圈。

注意，不是撬锁。是试锁。

有人问，那平台没有验证码吗？没有风控吗？有。但撞库的人也不傻。他们用代理IP，控制频率，模拟正常设备，甚至养号。一个账号试三次不行就换下一个。十万个账号里，只要有一小撮人还在用旧密码，他们就赚了。

这就像什么？像有人拿着一大串钥匙，在小区里挨家挨户轻轻拧一下门把手。不撬，不砸，不吵。总有一扇门，开了。

我听过太多类似的话：“我一个普通人，谁盯着我啊。”

问题就在这儿。撞库不是“盯着你”，是“扫过你”。

自动化脚本跑起来，它不认识你是谁。它只认账号密码能不能匹配。你的购物记录、收货地址、聊天记录、邮箱里的发票和验证码，对黑产来说都能打包卖。更麻烦的是，很多人邮箱密码和别的网站密码一样。邮箱一丢，等于总闸被人拉开。

因为绝大多数网站的“忘记密码”，最后都是往你邮箱发一封重置邮件。你邮箱如果被撞开了，别人就能重置你其他账号。链式反应，懂吧？

还有一种更隐蔽的：撞库成功之后不马上动手。先潜伏，看看这个账号有没有绑定银行卡，有没有常用联系人，有没有企业权限。等养肥了再宰。你某天突然发现账号发了一堆垃圾广告，或者好友收到“帮我验证一下”的消息，那可能只是冰山一角。

所以别再说“我没什么可偷的”。你的身份、你的社交关系、你的邮箱，本身就是资产。

误会一：密码复杂就够了。

复杂当然好，但“一个复杂密码用十年、用遍全网”是另一种裸奔。撞库不猜你的密码规律，它直接用已知的旧密码。你那个密码再复杂，只要在别处泄露过，就等于公开了。

误会二：收到异地登录提醒，改个密码就完事。

改密码是对的，但不够。你得把所有用同一个密码的网站都改掉，并且把已经登录的设备踢下线。有些平台叫“退出所有设备”或者“注销其他会话”。这个按钮，平时没人点，出事时能救命。

误会三：开了短信验证码就高枕无忧。

短信验证码比没有强，但也不是金钟罩。有些攻击能拦截短信，有些能骗你转发验证码。更稳的是用验证器App，或者硬件密钥。当然，普通网友能做到“不同网站不同密码加上重要账号开两步验证”，已经能挡住绝大多数撞库脚本了。

我不推荐一上来就搞什么密码学。没几个人能坚持。用最笨但有效的办法：

先把邮箱当命根子。邮箱密码必须单独一个，绝不能和其他网站共用。因为它是你所有账号的“总钥匙”。

再给密码分等级。购物、论坛、小工具网站，用一套；社交、邮箱、网盘，用另一套；网银、支付，再用单独的一套。你不用记住一百个密码，记住三套不同层级的就行。更好的办法是用密码管理器，让它帮你记。我一开始也怕，后来真香。

能开两步验证就开。尤其是邮箱、微信、支付宝、常用社交账号。多一步验证，撞库脚本基本就卡住了。别嫌麻烦。你嫌麻烦，黑产可不怕麻烦。

如果已经发现账号异常怎么办？别慌。顺序大概是：先用干净设备改邮箱密码，再改其他同密码账号，退出所有设备，检查转发规则和自动回复，然后告诉常联系的人“我账号可能被盗，别信借钱消息”。

对了，那些“查询你的邮箱是否泄露”的网站，可以查，但别在来路不明的页面输入密码。查泄露只需要邮箱，不需要密码。要密码的，一律关掉。

撞库这事，说到底就是一场“懒人税”。你偷的懒，会变成别人手里的钥匙串。

我知道，记住一堆密码很烦。我也烦。但比起凌晨三点收到异地登录短信，然后手忙脚乱地找客服、冻结账号、跟朋友解释“那不是我发的”，改密码那几分钟真的不算什么。

今晚有空的话，去把你的邮箱密码改了。别用生日，别用手机号，别用“姓名加123”。就这一件事，能让你甩开一大批撞库脚本。

真的。别等弹窗弹出来才想起。