2025 年上半年，国内外又爆出好几起大规模数据泄露事件，涉及的用户数据以"亿"为单位。从行业视角看一个残酷的现实：你的密码很可能已经躺在某个泄露库里了，区别只在于黑产有没有轮到你。
为什么是"每年一次"？因为安全是个动态过程：你一年里会注册新账号、换手机、授权新的 App，攻击手法也在升级。一次性的设置管不了一辈子，年度自查就是给数字生活做"年检"。挑个周末的下午，泡杯茶，按下面这 12 项逐项过一遍，一小时左右能做完。
第 1 项：查你的邮箱和手机号有没有被泄露。 去 Have I Been Pwned 这类泄露查询网站输入常用邮箱，看看中过几枪。中枪不代表已经出事，但意味着这些账号的密码必须换。
第 2 项：给所有重要账号开两步验证。 邮箱、Apple ID、Google、银行、社交账号，一个不落。还没开的现在就去开，这是性价比最高的安全措施。验证器选型参考这篇验证器 App 对比。
第 3 项：换掉重复使用的密码。 很多人十几个网站用同一个密码，一处泄露等于全部沦陷。换成密码管理器生成的高强度随机密码，1Password 和 Bitwarden 的对比 可以帮你选型。
第 4 项：检查邮箱的转发和过滤规则。 黑产盗号后常设置自动转发规则，把验证码邮件偷偷转走。去邮箱设置的"过滤器/转发"里看一眼，有不认识的规则立刻删掉。
第 5 项：清理第三方授权。 “用 Google/微信/Apple 登录"很方便，但三年前授权过的 App 可能还在拿你的数据。去各平台的授权管理页，把不用的全部撤销。
第 6 项：备份两步验证的恢复码。 开 2FA 时给的那串恢复码，截图存好、异地备份。换手机丢验证器的悲剧每年都在上演，这篇换机指南 就是为这种情况准备的。
第 7 项：检查常用设备的登录状态。 邮箱、社交账号的"已登录设备"列表里，有没有不认识的设备？有就踢掉并改密码。
第 8 项：更新密码管理器的紧急联系人。 万一你出意外，家人怎么接管你的数字账号？1Password 有家庭共享，Apple 有遗产联系人，提前设置好，这篇数字遗产指南 讲得很细。
第 9 项：给手机卡加 PIN 码。 SIM 卡被拔走插到别的手机上，就能收你的短信验证码。给 SIM 卡设个 PIN，开机就要输，多一层保险。
第 10 项：检查云备份的加密状态。 iCloud、Google 相册里的照片和文件，确认开启了端到端加密选项（Apple 叫"高级数据保护”），避免云端泄露等于裸奔。
第 11 项：清理不用的旧账号。 三年前注册的论坛、早就不用了的 App，能注销的注销。账号越少，攻击面越小。海外 App 的注销方法看这篇 GDPR 删除权指南。
第 12 项：和家人同步一次安全知识。 把这份清单转发给父母，帮他们开 2FA、设 SIM PIN。2025 年的诈骗电话越来越真，老年人是最容易中招的群体，你帮他们做一次，顶他们自己琢磨一年。
做完清单之后： 定个每年的日历提醒，明年同一时间再来一遍；把这 12 项里你"今年没做到"的记下来，优先补。安全不是一次性的工程，是每年的习惯。想系统学习防骗，这篇钓鱼识别指南 建议接着读。
如果 12 项一次做不完，先抓前三项：查泄露、开两步验证、换掉重复密码——这三项拦下了绝大多数真实攻击，剩下的可以分几周慢慢补。安全清单最怕的就是"收藏了等于做了"。
从行业趋势看，攻击手段每年都在升级，但防御的基本功十年没变：强密码+两步验证+定期检查。把这 12 项做完，你的安全水位就已经超过 95% 的网民了。最后送一句话： 安全投入的本质是买"出事的概率"，这份清单花你一小时，换的是未来一年的安心——这笔账，怎么算都值。明年见。