事情是这样的：上周我心血来潮，把用了十年的邮箱输进 Have I Been Pwned，返回结果——17 次泄露。最早的一次是 2016 年某论坛拖库。也就是说，我的密码在黑客手里躺了 8 年，而我一无所知。这篇记录我查完之后的处理流程，照着做就行。
插图来源：Storyset
Have I Been Pwned 是什么#
这是安全研究员 Troy Hunt 维护的公益网站，收集了历年来公开的泄露数据库（脱敏处理后）。输入邮箱，能查到它出现在哪些泄露事件里、泄露了哪些字段（邮箱、密码哈希、手机号等）。
注意两点：它查的是"邮箱是否在已知泄露库里出现过"，不是实时监控；它不会显示你的明文密码，只告诉你"中招了"。
查询三步：5 分钟搞定#
- 打开 haveibeenpwned.com，输入常用邮箱，点查询（pwned check）
- 看结果：绿色"Good news — no pwnage found"是没中招；红色会列出泄露事件名称、时间和泄露字段
- 把名下所有邮箱、常用用户名都查一遍，别漏了那个大学时注册的
查出泄露后的处理清单：按顺序做#
- 立刻改密码：泄露过的邮箱，所有用过相同密码的网站全部改掉。别偷懒，一个一个来
- 开两步验证：特别是邮箱本身。邮箱是"万能钥匙"，丢了邮箱等于丢了一切。安全自查清单对照着做，一项项打勾
- 检查重要账号：网银、支付、Apple ID、Google 账号，登录后台看有没有异地登录记录，有就踢掉并改密码
- 换密码管理器：别再靠脑子记，Bitwarden 这类工具用起来，每个网站独立随机密码
- 警惕精准钓鱼：泄露过的邮箱会收到更精准的钓鱼邮件（知道你的名字、买过什么），警惕性拉满，不点不明链接
我的复盘：为什么中招 17 次#
复盘下来，原因就两个，估计很多人也一样：
- 一密多用：2016 年前所有网站同一个密码，一个论坛拖库，全军覆没
- 小网站乱注册：领个优惠券就注册，论坛早倒闭了，数据还在黑产手里流传
2016 年的互联网环境就这样，不怪当时的自己。但 2024 年了，还在一密多用就是自己的问题了。
2024 年的正确姿势：4 条#
- 密码管理器 + 每个网站独立随机密码：这是地基，没这个其他都是空谈。Bitwarden 免费够用，1Password 体验更好
- 重要账号全部开 2FA：邮箱、支付、社交，一个都别落下。验证器 App 比短信靠谱
- 注册小网站用邮箱别名：iCloud 隐藏邮件、SimpleLogin 这类，一个网站一个别名，泄露了直接弃用，不影响主邮箱
- 每年查一次：把 Have I Been Pwned 加入年度清单，和体检一样定期做。每年生日那天查一次，形成习惯
进阶：监控泄露#
Have I Been Pwned 支持订阅通知：输入邮箱、验证后，未来有新的泄露包含你的邮箱，会邮件提醒。建议把主力邮箱都订阅上，被动防御转主动。免费的，不用白不用。
另外，企业用户可以用 Domain Search，监控整个公司域名的泄露情况。2024 年，很多公司的安全团队都把 HIBP 当情报源用。个人用户用免费版就够了。
2024 年值得关注的泄露趋势#
- 信息窃取恶意软件爆发：2024 年，Stealer 类木马（偷浏览器密码、Cookie 的）成为泄露主因。你的密码不是被网站泄露的，是被你电脑里的木马偷的。对策：别下破解软件，浏览器密码别存敏感账号
- 撞库自动化：泄露的密码会被拿去批量撞库，一个网站泄露，全网账号危险。这就是为什么"一个网站一个密码"是铁律
- AI 钓鱼：2024 年，AI 生成的钓鱼邮件越来越真，真假难辨。记住：任何要你"紧急操作"的邮件，先停 3 分钟，核实发件人。真假 AI 钓鱼，看发件人域名最靠谱
查完之后：泄露了怎么办#
查到泄露，别慌，按这个流程：
- 改密码：泄露涉及的网站，立刻改密码，换成密码管理器生成的随机密码
- 查撞库：用同一个密码的其他网站，全改掉。一个一个来，别偷懒
- 开 2FA：还没开 2FA 的重要账号，趁这个机会全开了
- 看异常：检查邮箱、支付账号有没有异常登录，有就冻结
泄露不可怕，可怕的是泄露了还不改密码。2024 年，改密码+2FA，能防住 99% 的撞库攻击。
延伸：密码泄露的连锁反应#
很多人不知道黑产的标准流程：拖库 → 撞库 → 洗号。你的邮箱+密码组合会被拿去批量试 B 站、淘宝、支付宝、游戏账号。改密码要快，越快损失越小。
11 月有华为 Mate 70 发布，换新机前先把账号安全搞定，别带着一身漏洞换新手机。
2024 年，Have I Been Pwned 依然是查泄露最靠谱的免费工具。每年查一次，比什么杀毒软件都管用。
2024 年，每年查一次泄露，比杀毒软件管用。
2024 年，Have I Been Pwned 每年查一次，泄露早知道。
2024 年，泄露查询用 HIBP，免费靠谱，每年查一次。
每年查一次，泄露早知道早处理。
泄露早查早处理。
一句话总结#
花 5 分钟查一次泄露，花 1 小时处理后患。你的邮箱用了十年，值得这 1 小时。记住：泄露不可怕，可怕的是知道了还不改。