经非法处理的登录信息

凌晨三点，经非邮箱里躺着一封来自“自己”的法处邮件。发件人显示的登录是我的常用账号，主题是信息“安全提醒：您的密码已过期”，正文只有一个链接。经非点进去，法处页面和我平时登录的登录界面一模一样，连浏览器自动填充的信息密码都弹出来了。我差一点就按了回车。经非后来查日志才发现，法处那封邮件的登录真实发件IP在罗马尼亚，而我的信息账号早在一周前就被挂在一个叫“组合列表”的暗网帖子里，售价12美元。经非

这就是法处经非法处理的登录信息最典型的模样——它不神秘，甚至有点廉价。登录所谓“非法处理”，说白了就是别人拿到了你的账号密码，然后像分拣快递一样，把它们按邮箱服务商、按行业、按活跃度打包分类。我见过一个被泄露的数据库样本，里面全是某电商平台的用户记录，每条格式规整得吓人：邮箱、明文密码、手机号、最后登录IP、注册时间。最旧的一条来自2013年，最新的就在上个月。这些数据被反复清洗、去重、交叉比对，最后变成一张张“撞库”用的弹药清单。

有人觉得只要密码够复杂就没事。我认识一个做渗透测试的朋友，他给我演示过怎么用“密码规律库”反推。你设了“Xiaoming2024!”，数据库里就存着“Xiaoming”加年份加符号的变体，一共两百多种组合。他跑一遍脚本，三秒钟出结果。真正要命的不是密码本身，而是你在不同网站用了同一个密码。一个论坛被拖库，黑客拿你的邮箱和密码去试你的网银、你的公司VPN、你的云盘。成功率比想象中高得多，因为大多数人改密码只是把“2023”换成“2024”。

我自己的处理方式有点偏执。每个重要账号用独立密码，记在离线加密的记事本里。邮箱开了两步验证，但不用短信——短信能被SIM卡劫持。我用的是硬件密钥，一个USB小玩意儿，插上才能登录。麻烦吗？确实。有次出差忘带密钥，差点误了事。但比起某天醒来发现自己的社交账号在发加密货币广告，我宁愿麻烦一点。

那些被非法处理的登录信息，最终流向哪里？一部分被用来发垃圾邮件，一部分被用来刷单、薅羊毛，还有一部分被卖给专门做“账号接管”的团伙。他们不急着盗钱，先潜伏，看你的邮件、看你的聊天记录、看你绑定了哪些服务。有个案例是，攻击者用盗来的邮箱重置了受害者的苹果ID，然后远程锁死了他的iPhone和MacBook，屏幕上弹出一行字：“想解锁？打这个比特币地址。”受害者是个记者，电脑里存着没发表的调查稿。

企业这边也好不到哪去。很多公司内部系统还在用LDAP同步密码，员工改一次密码要等半小时才能登录所有服务。IT部门为了省事，干脆把密码策略设成“永不过期”。结果一个离职员工的账号三年后还能用，因为没人记得去禁用。我见过最离谱的是一个运维把生产数据库的密码写在了GitHub的公开仓库里，注释还写着“临时用，回头改”。回头是三年后。

说这些不是要吓唬谁。登录信息这东西，一旦离开你的键盘，就不再属于你了。它可能在某个论坛的数据库里，可能在某个黑客的硬盘里，也可能在某个你从没听说过的“数据交易市场”上被反复叫卖。你唯一能做的，是让偷到它的人觉得不划算——换密码、开双因素、别偷懒。就这么简单，也这么难。

(责任编辑：焦点)