2019年，网站国内某安全公司做过一次渗透测试。密码他们拿到一家中型企业的破解授权，尝试攻击其内网。网站结果没费一枪一弹，密码就靠一个员工生日加公司简称的破解组合，在第三轮尝试中直接登进了财务系统。网站那个密码是密码“hualu1987”，华鲁是破解公司名，1987是网站财务总监的出生年份。

这事儿听着荒唐，密码但现实中八成密码破解都走这条路——不是破解暴力穷举，而是网站猜。人脑记不住随机字符串，密码所以总爱把密码建立在可关联的破解信息上：名字、生日、手机尾号、宠物名、偶像生日。我见过最离谱的，有人用“woaixuexi123”，因为他觉得这样显得热爱工作。

破解手法分几层。最粗鲁的是撞库——黑客从旧网站拖出几亿条账号密码，拿相同邮箱和密码去试别的平台。很多人所有网站一个密码，撞库成功率能到百分之二到五。别小看这个数字，对十亿级数据库来说，那就是千万级账号失守。

稍微讲究点的是社工库。黑客把各种泄露数据合并成一张大表，里面能查到你的QQ号、手机号、曾用密码、家庭住址甚至快递记录。然后他们写个脚本，把这些信息排列组合成候选密码，再配合“密码生成规则”——比如首字母大写、末尾加个“!”。这种攻击叫“定向爆破”，对付普通用户几乎百发百中。

真正的高手反而不碰这些。他们直接钓鱼。给你发个仿冒的登录页面，域名看着像官网，实则差一个字母。你输入密码的瞬间，密码已经进了对方的服务器。2022年有个案例，黑客用伪造的“公司VPN更新通知”邮件，骗过了一家律所的三名合伙人，拿到了他们远程办公的登录凭证。这三人共用同一个密码，只是后缀不同——一个加“@2022”，一个加“@2021”，另一个干脆没改。

密码这玩意儿，本质上是人机信任的妥协。系统要求你设复杂密码，又要求你定期更换，结果就是大多数人把密码写在便利贴上，或者用“P@ssw0rd1”这种看似复杂实则烂大街的序列。安全策略越繁琐，用户越容易寻找最脆弱的出口。

我有个朋友在互联网公司做运维，他给自己设密码的方式很特别——用一句歌词的首字母，加上某个音符的简谱数字，再混入键盘上的特殊符号。他说这密码他自己都记不住，得靠密码管理器。可问题是，如果密码管理器的主密码被破解，等于把保险柜钥匙挂在保险柜外面。

说到底，密码破解不是技术问题，是人性问题。只要人还在用“女儿的生日+宠物狗的名字”这种组合，黑客就永远有饭吃。别迷信那些“强密码”教程，真正有效的只有两条：不同平台用不同密码，重要账号开两步验证。至于那些拿你生日当密码的账号——趁早改了吧，你生日早就躺在某个黑客的数据库里了。