密碼洩露的真實原因：從資料庫入侵到認證重用

想像你在網路上購物多年，從未遇到安全問題。然後有一天，你收到一封郵件，說你的帳戶被盜用了。你很困惑：你的密碼很強，你認為自己很謹慎。那麼密碼是如何洩露的呢？如果你認為答案是「駭客用超級電腦破解了你的密碼」，你就被好萊塢電影誤導了。實際情況更普遍、更容易預防，但也更複雜。

真實的密碼洩露主要來自五個途徑，而且大多數都與你使用的服務有關，而非你的密碼本身有多強。讓我們逐一檢視。

資料庫入侵：最常見的洩露途徑

當我們說「資料庫入侵」時，我們的意思是：駭客或內部人員獲得了一個公司伺服器上的整個資料庫副本。這個資料庫通常包含用戶名、密碼、電郵地址，有時還有更敏感的資訊。

過去二十年來，數百家知名公司都經歷過這種情況。這不是因為他們的用戶密碼太弱，而是因為公司的系統遭到入侵——也許是透過過時的伺服器、員工帳戶被盜用，或者簡單的配置錯誤。一旦資料庫被複製，駭客就擁有了所有密碼。

好消息是：合理的公司不會以明文儲存密碼。他們使用一種稱為「雜湊」的過程，將你的密碼轉換為一個長的亂碼字符串。即使駭客獲得了資料庫，他們也看不到你的實際密碼——只看到雜湊值。解釋雜湊值很重要：想象你給銀行一個祕密字眼。銀行不記錄這個字眼本身，而是用一個特殊機器將其轉換為一個獨特的號碼。下次你來時，他們將你提供的字眼轉換為號碼並比較。這樣，即使有人竊取了銀行的記錄，他們也看不到真正的字眼。

但這裡有一個陷阱：如果你的密碼很常見（比如「password123」或「qwerty」），駭客可以使用預先計算的雜湊表（稱為「彩虹表」）快速反向工程出你的密碼。這就是為什麼強密碼很重要，但這仍然不是資料庫洩露的主要問題。主要問題是，一旦密碼被洩露，無論其強度如何，它都已被盜用。

釣魚詐騙：你自願放棄密碼

駭客經常根本不需要入侵任何東西。他們只需欺騙你直接給他們你的密碼。

釣魚詐騙的運作方式很簡單：你收到一封看起來來自你的銀行、電郵提供商或社交媒體網站的郵件。郵件要求你「驗證你的帳戶」或「更新付款資訊」。你點擊一個連結，被帶到一個看起來完全合法的網站——但實際上是駭客製作的副本。你輸入你的用戶名和密碼。駭客獲得它們。

這不是密碼本身的問題。這是人類信任的問題。一個精心製作的釣魚郵件可以欺騙聰慧的人。防禦方法包括仔細檢查郵件地址和 URL（在你的瀏覽器中，真實的 URL 是否與你期望的相符？），以及啟用多因素認證（我們稍後會談到）。

裝置上的惡意軟體：鍵盤記錄器和竊取器

有時候，洩露發生的位置是最私密的：你自己的電腦或手機。

惡意軟體是一種軟體，一旦安裝在你的裝置上，就可以做各種壞事。某些惡意軟體會記錄你輸入的每個鍵盤按鍵（稱為「鍵盤記錄器」）。另一些會截圖你的螢幕。還有一些直接竊取儲存在瀏覽器中的密碼。從駭客的角度來看，這比試圖入侵公司的伺服器容易得多。

這裡的防禦更多是關於衛生而非技術：不要從可疑網站下載應用程式，保持你的作業系統和瀏覽器最新，使用合法的防病毒軟體。但誠實地說，一個高度有針對性的惡意軟體攻擊（例如針對記者或異議人士的攻擊）很難完全防禦。

密碼重用：一個洩露破壞一切

這是一個自製的災難。假設你在十個不同的網站上使用相同的密碼。其中一個網站遭到入侵。現在駭客不僅擁有該網站的訪問權限，還擁有你其他九個帳戶的訪問權限。

駭客利用這一點的方式稱為「認證轉錄」。他們取得一個洩露的用戶名和密碼對，然後系統地嘗試將其輸入到其他網站。許多人會「成功」登入。

密碼重用是可預防的：對每個重要帳戶使用唯一密碼。但人腦記不住五十個複雜的密碼，這就是密碼管理器存在的原因。密碼管理器是一個程式，可以為你生成、儲存和自動填充唯一密碼。它們本身受到一個主密碼保護。雖然沒有什麼是完全安全的，但現代密碼管理器使用強加密，已經成為防禦多個帳戶洩露的標準方法。

多因素認證：當密碼洩露時的備用方案

假設最壞的情況發生了：你的密碼被盜了。多因素認證（MFA）是你的第二道防線。MFA 要求你提供不止一個證明：通常是密碼加上第二件事。

這第二件事可以是：來自應用程式的臨時代碼，發送到你手機的文本訊息，或者（最安全的）一個實體金鑰，看起來像一個小的 USB 隨身碟。

為什麼實體金鑰（稱為硬體金鑰）特別有效？因為即使駭客擁有你的密碼，他們也無法在沒有物理金鑰的情況下登入。文本訊息 MFA 不太安全，因為有時可以透過社會工程或電信公司的破壞被攔截，但它仍然比沒有 MFA 要好得多。

密碼安全的現實情況

沒有完美的防禦。但組合防禦工作得很好。使用密碼管理器為每個帳戶創建唯一的強密碼。為重要帳戶（尤其是電郵）啟用 MFA。對於最敏感的帳戶，考慮使用硬體金鑰。對釣魚詐騙保持警惕。保持你的裝置最新。

沒有一個步驟會阻止所有洩露。但這些步驟的組合涵蓋了絕大多數真實情況。密碼安全最終是關於降低風險，而不是消除風險。現在你知道了真正的威脅在哪裡，你可以更有策略地保護自己。