Have I Been Pwned & 1Password

数据泄露 101：黑客如何窃取密码

数据泄露事件屡见不鲜，频频受到媒体报道，或者您认识的人也透露过他们的某个帐户被黑客入侵。

当发生这种情况时，人们不禁要问：为何这种事情接连不断？犯罪分子使用哪些技术窃取帐户凭据？如何防止自己的密码被黑客破解？

让我们先从前两个问题开始。以下是黑客最常用的技术：

社交工程和网络钓鱼

社交工程通过操纵手段诱使您分享个人数据，如个人密码或电话号码。攻击者试图冒充您认识或信任的人（可能是您的职场经理、银行客户经理或大学老友）来欺骗您，精心编造听起来可信的理由，引诱您与他们分享信息。

黑客每次这样做，都是试图通过“网络钓鱼”获取信息。社交工程攻击主要通过电子邮件、短信或电话（称为“语音钓鱼”）形式来实施。攻击者通常广撒网，向成百上千的人集体发送网络钓鱼信息实施攻击，希望有人上当受骗。

密码泄露和凭据填充

黑客不太可能坐在电脑前尝试不同的密码来入侵帐户。这过于耗时，而且他们很可能会在几次尝试失败后被锁定。相反，他们会尝试以前安全漏洞中泄露的凭据。

攻击者知道，普通用户很少使用不同的密码。因此，如果他们知道某个 Microsoft 旧帐户的用户名和密码，那么相同的凭据很有可能对同一用户的电子邮件帐户也有效。在实际操作中，黑客会使用专门的软件在网络上大规模测试已窃取的凭据。这种攻击被称为“凭据填充”。

字典攻击和破解哈希密码

假设攻击者发现了一个密码数据库。他们会面临一个问题：每个凭据都经过哈希算法加密，以获得保护。攻击者可以通过常用的哈希算法运行每一个可能的密码，然后检查结果是否与数据库中的任何内容一致。但这样做效率低下。

因此，攻击者会尝试使用预定义列表中的常用字词、短语或以前泄露的密码。一旦找到匹配项，他们就可尝试使用当前破解的密码访问关联帐户，或查看其是否适用于所有者的其他在线帐户。

好了，我们已经介绍了黑客窃取密码的手段。那您通常可以采取哪些措施来抵御这些策略，防止个人数据泄露？

请为每项服务设置唯一密码，更好地保护自己。

为每个帐户设置强大且唯一的密码是确保您上网安全的最佳方法。如此一来，即使一个网站的数据出现泄露，您其他网站的数据也能保持安全。虽然您无法创建或记住数百个不同的密码，但密码管理器可以。您可使用 1Password 的内置密码生成器为各种网站和服务（例如 Amazon、Instagram 和 Gmail）创建安全密码，节省时间。

启用多因素身份验证

多因素身份验证为您的在线帐户增加额外的安全保护层。一经启用，除了用户名和密码外，还需使用第二个因素（通常是具有时效性的验证码）才能登录。1Password 会告知哪些网站支持多因素身份验证，并充当身份验证器，复制和自动填写特定的一次性密码。

利用 Watchtower 随时了解安全威胁

Watchtower 会告知您关于 1Password 已保存项目的数据泄露风险和其他安全问题，包括您目前使用弱密码或重复使用密码的网站，以及尚未使用通行密钥的服务。关注 Watchtower 中的通知并及时采取行动，可以有效加强您的数据安全并降低个人信息出现在暗网上的几率。