实用指南

先说残酷的真相：正规密码管理器的主密码是"零知识"的——官方自己也解不开你的 vault。这意味着：忘了主密码，官方帮不了你，能不能恢复全看你自己事前做了什么准备。 插图来源：Storyset

先查，再慌：很多网站被拖库后，邮箱+密码会流入公开的泄露查询库。去这类查询站输入你的常用邮箱，就能知道它出现在过几次泄露事件里。只输邮箱不输密码——正规查询站不需要你提供密码。 插图来源：Storyset

问：为什么邮箱被盗比社交账号被盗严重得多？ 答：因为邮箱是大多数账号的"重置中心"。拿下你的邮箱，攻击者就能给你的银行、社交、购物账号挨个点"忘记密码"。所以邮箱被盗的第一优先级永远是：先夺回邮箱，再处理其他。

问：长期出国，国内手机号最省事的处理方式是什么？ 答：改成最低档的保号套餐。三大运营商都有低月租的保号套餐（具体资费以营业厅当前公示为准），能正常收短信、接电话，人在国外开国际漫游收短信一般免费。这是成本最低、最省心的方案。

最近这类新闻越来越多：有人接到"银行客服"电话，按指引操作后卡里的钱没了；有人在 TG 上收到"平台官方"私信，点链接输了账号密码。冒充客服类诈骗能屡屡得手，不是因为骗子技术多高，而是话术精准拿捏了人性。拆解 5 个最常见的套路。

这两年登录网站时，你可能见过"使用通行密钥登录"的选项，点一下，刷个脸或按个指纹就进去了，不用输密码也不用等短信。这就是 Passkey（通行密钥）。它不是什么小众新玩具，苹果、谷歌、微软几家已经推了几年，主流网站跟进得越来越多，值得你现在就了解一下。

先讲我的翻车现场：去年换手机，旧手机恢复出厂设置卖掉，才想起 Steam 手机令牌还在上面。结果新手机登录要令牌、令牌在旧手机里，死锁。最后走了申诉，库存被锁了半个月，交易报价全黄。从那以后，换手机前我必做下面这份检查。

插图来源：Storyset 每年过年回家，我的第一项"仪式"就是检查爸妈的手机：不明 App、免密支付开着、验证码随手转发。花半小时做完下面这 10 项，一年都安心。

插图来源：Storyset Steam 账号被盗的高发场景就那几个：点了钓鱼链接"免费领游戏"、在网吧/公共电脑登录没退出、密码在别的网站泄露被撞库。发现账号异样（密码被改、库存少东西、收到陌生交易报价），立刻按下面流程走。

插图来源：Storyset 先说结论 # 扫码登录本身是比输密码更安全的登录方式：密码不用离开你的手机，电脑端拿到的只是一个临时凭证。但"方式安全"不等于"每次扫码都安全"——风险不在技术，在人。