- 先查，再慌：很多网站被拖库后，邮箱+密码会流入公开的泄露查询库。去这类查询站输入你的常用邮箱，就能知道它出现在过几次泄露事件里。只输邮箱不输密码——正规查询站不需要你提供密码。
插图来源：Storyset
- 查到泄露先别慌，看类型：单纯邮箱泄露（只有邮箱地址）风险低，主要是垃圾邮件；邮箱+密码同时泄露风险最高，意味着撞库攻击可以直接拿这组凭证去试你的其他账号。
- 按风险等级处理的对照表：
| 风险等级 | 情况 | 先做什么 | 后做什么 |
|---|---|---|---|
| 高 | 泄露的密码还在用，且多个网站共用 | 立刻改所有用过该密码的账号 | 启用密码管理器，逐个换成随机密码 |
| 中 | 泄露的密码已停用，但邮箱还在用 | 确认该密码没有在其他地方复用 | 给重要账号开 2FA |
| 低 | 只有邮箱泄露，密码未泄露 | 提高警惕，防钓鱼邮件 | 定期复查 |
“先改什么"的排序：邮箱 → 银行支付 → 社交账号 → 其他。邮箱是重置中心，优先级永远第一（参考账号安全清单的完整排序）。
治本：上密码管理器：泄露事件防不住，但"一站一密码"能让你每次只损失一个账号。Bitwarden 入门和 1Password 对比帮你选。上了管理器记得把主密码的备份做好，别从一个坑掉进另一个坑。
定期复查的节奏：每季度查一次常用邮箱，有重要账号体系变更时加查一次。把这件事加进日历提醒，比出事再补救强十倍。
三种常见攻击方式的区别：很多人把"泄露"混为一谈，其实是三回事——
| 攻击方式 | 发生了什么 | 你能做什么 |
|---|---|---|
| 拖库 | 网站数据库被盗，你的账号密码流入黑市 | 换密码，上"一站一密码” |
| 撞库 | 攻击者拿泄露的密码批量试其他网站 | 停用复用密码，重要账号开 2FA |
| 钓鱼 | 假网站骗你主动输入密码 | 认准域名，不点可疑链接 |
- 泄露库的局限：公开查询库只收录"已公开"的泄露事件，没查到不等于没泄露过。正确心态是：默认自己的旧密码都已泄露，用"一站一密码"兜底，而不是赌自己运气好。
- 减少爆炸半径的小技巧：注册不重要的网站用邮箱别名，一个网站一个别名。哪个别名开始收到垃圾邮件，就知道是哪家泄露了，还能直接停用。
- 查到泄露后的 24 小时行动：先改邮箱和支付类密码 → 再改社交账号 → 最后处理论坛、工具类小站。顺序的本质是"按账号价值排序"，别从最不重要的开始改，改到一半累了就停了。