内容摘要：你的密码可能已经在暗网上卖了三年 2019年，一个叫“Collection #1”的数据库被打包上传到某个黑客论坛。87GB的纯文本，包含7.73亿个独立邮箱和2100万组明文密码。有人下载后做了个查

你的黑客信息密码可能已经在暗网上卖了三年

2019年，一个叫“Collection #1”的黑客信息数据库被打包上传到某个黑客论坛。87GB的黑客信息纯文本，包含7.73亿个独立邮箱和2100万组明文密码。黑客信息有人下载后做了个查询页面，黑客信息输入自己的黑客信息邮箱，屏幕上直接弹出一行字：你的黑客信息密码是woaini123456。很多人第一次看到这个页面时愣了几秒，黑客信息然后才想起来——那是黑客信息他们2012年注册某论坛时用的密码。

这就是黑客信息黑客信息最真实的模样。它不像电影里那样满屏绿色代码往下滚，黑客信息而是黑客信息一堆躺在某个角落的CSV文件、SQL导出、黑客信息或者干脆就是黑客信息记事本截图。有人在Telegram群里按条卖，黑客信息有人打包扔在论坛附件里，还有人把它做成API接口，按查询次数收费。

泄露的从来不只是密码

2021年，领英6亿用户数据被爬取后公开出售。卖家在帖子里的描述很简短：“LinkedIn Scraped Data, 600M records, $5000.” 样本数据里包含了全名、邮箱、手机号、工作经历、薪资范围。有人拿这些信息去撞库，有人用来做精准钓鱼，还有人专门找那些在简历里写着“负责公司网络安全”的人——这些人往往拥有更高的系统权限。

更早的2013年，Adobe泄露了1.53亿条记录。密码用了3DES加密，但密钥和加密后的密码存在同一台服务器上。黑客拿到之后直接解密，把明文密码和密码提示一起公开了。有个用户的密码提示写的是“我的狗的名字”，密码是“fluffy123”。后来他在Reddit上发帖说，自己所有账号都用了同一个密码，包括网银。

暗网不是唯一的地方

很多人以为黑客信息只在暗网流通。实际上，公开的 Pastebin、GitHub 仓库、甚至某些国家的云盘分享链接里，都能找到完整的泄露数据库。2020年，有人在GitHub上搜“database.sql”，结果翻出一个包含200万条中国公民身份证信息的文件，上传者连文件夹都没加密。

Telegram 是另一个重灾区。搜索“社工库”三个字，能跳出几十个频道。有些是免费的，发个邮箱就能查；有些要付费，50美元能查一个人的开房记录、快递地址、外卖订单。运营者管这叫“精准查询”，实际上就是把不同来源的泄露数据做了关联。

你被泄露的信息比你想象的多

试着回忆一下：你注册过多少个网站？论坛、电商、小游戏、学校教务系统、公司内部工具。每一个都存了你的邮箱和密码。大部分网站根本没有安全团队，数据库直接暴露在公网上。有人写了个爬虫，每天扫全网IP段，找那些没设密码的MongoDB和Elasticsearch实例。2019年，一个安全研究员发现，某国内快递公司的数据库连密码都没设，2亿条订单信息随便下载。

这些数据不会消失。它们被复制、转卖、合并、重新打包。你今天在某个小网站注册的账号，明天就可能出现在某个黑客的“新货”列表里。有个做渗透测试的朋友告诉我，他手里有一份2015年某招聘网站的泄露数据，到现在还有人找他买。“数据又不会过期，”他说，“手机号可能换了，但身份证号不会变。”

别指望“改密码”能解决一切

很多人以为定期改密码就安全了。问题是，你改的只是当前账号的密码，那些已经泄露的旧密码依然有效——在别的网站上。黑客不傻，他们知道大部分人会在多个平台复用同一个密码。一个邮箱在A网站泄露了，他们就去B网站、C网站试。这叫“撞库”，成功率比你想象的高得多。

真正有效的做法只有两条：第一，用密码管理器生成随机密码，每个网站都不一样；第二，开启双因素认证，哪怕密码泄露了，对方也进不去。听起来很麻烦，但比起某天早上醒来发现银行卡被清空，这点麻烦不算什么。

最后说个真事。有个安全研究员在分析某次泄露数据时，发现了一个熟悉的名字——他自己的邮箱。密码是他大学时用的，早就忘了。他试着登录那个已经倒闭的论坛，页面居然还能打开。登录成功，个人中心里还留着他2009年发的一个帖子：“求推荐好用的杀毒软件。”