160亿账号密码泄露：网络安全警钟长鸣
Share
史上最大规模数据泄露事件：160亿条账号密码曝光！
近期，一项令人震惊的网络安全新闻席卷全球：超过160亿条账号密码信息被曝光，涵盖了几乎所有主流在线平台，包括Google、Apple、Facebook等，以及用户可想到的所有普通网络平台。此次事件可能是有史以来最大规模的登录信息泄露事件，几乎所有互联网用户都可能受到波及。
根据网络安全媒体Cybernews披露，这160亿条信息并非来自某一公司的大规模数据泄露，而是由各种信息窃取恶意软件（infostealers）逐步收集、整理、打包形成的“超级数据库”。这些信息包括社交媒体账号、VPN、开发者平台账号，甚至政府服务系统的登录凭证。
尽管CBC News尚未独立核实该事件的全部细节，但多位网络安全专家均表示，这起事件对所有互联网用户都构成了严峻威胁。Cybernews报道称，他们的研究人员自今年年初起一直在追踪这一系列信息泄露。调查显示，已经曝光的数据集中包含30个数据包，每个数据包从几千万条到超过35亿不等，合计达到160亿条泄露记录，其中绝大部分是从未在网络上曝光的新数据。
这些泄露的登录信息大多以“网址+用户名+密码”的形式排列，几乎可以打开你能想到的所有网络服务，从Google、Apple 到GitHub、Telegram，甚至还有政府系统。Dispersive副总裁Lawrence Pingree表示，这些数据往往在暗网中以极低的价格出售，供情报机构、黑客团体或犯罪分子使用，形成可怕的“网络攻击蓝图”。
面对如此规模的泄密事件，专家们一致建议：尽快更换你的所有登录密码，尤其是你曾经重复使用的密码。加拿大多伦多ISA Cybersecurity副总裁Enza Alexander表示，用户至少每年应更换三到四次主要社交平台的密码，尤其不要重复使用旧密码。她建议密码应包含大小写字母、数字和特殊字符，并且尽量保持唯一。
Alexander同时强调，虽然频繁更换密码难以记忆，但这是阻止黑客“连锁式入侵”你多个账户的关键措施。专家们更推荐彻底告别传统密码系统，转而使用更安全的登录方式，即Passkeys（通行密钥）。
什么是通行密钥（Passkeys）？这是一种被视为密码的替代品的一种认证方式，用户可以通过面部识别、指纹识别或设备PIN码登录账号，无需再输入传统密码。Google、Apple 和 Facebook 等公司都已经支持这种认证方式，甚至 Google 已经建议所有用户尽可能地使用 Passkeys 替代密码，并搭配使用 Google Password Manager 管理登录信息与监测是否泄露。
在没有全面支持 Passkeys 的平台上，密码管理器也是目前的“次优解”。像Google Password Manager、Dashlane等工具，可以帮助用户生成高强度密码并安全保存，同时监控是否遭遇密码泄露。Keeper Security CEO Darren Guccione指出，此次160亿条信息的泄露，表明“敏感数据被意外暴露在线上的几率极高”，而云环境配置错误也可能成为数据泄露的漏洞来源。
企业也不能掉以轻心：零信任架构是趋势。网络安全专家建议企业应逐步采用零信任安全模型（Zero Trust Security），通过权限控制和多因素验证，确保所有对敏感数据的访问都经过授权和记录。正如前美国国家安全局（NSA）网络安全专家、Desired Effect CEO Evan Dornbush所说：“不管你的密码有多复杂，一旦黑客攻破储存密码的数据库，它就不再安全。”
在网络安全责任问题上，业界存在分歧。KnowBe4 网络安全公司专家认为，用户要注意密码管理，企业则要提供安全防护措施。但 MetaCert CEO Paul Walsh 则直言不讳地批评这种说法“完全是安全公司推卸责任的借口”。他表示，当前网络钓鱼攻击的技术已经远超普通用户的认知，而“让用户成为安全专家”的做法并不现实。
我们应该怎么做？
160亿条登录凭证泄露事件提醒我们网络安全形势异常严峻。无论你是否已受影响，现在都是采取行动的最佳时机：
- 更换所有重复使用的密码
- 启用双重认证（2FA）
- 尽可能使用通行密钥（Passkeys）
- 使用密码管理器进行统一管理
- 不要轻信短信链接，警惕网络钓鱼
- 定期检查账户是否遭遇数据泄露
网络世界没有绝对的安全，也不能完全寄希望于企业和机构来保护你的密码。我们普通用户只能尽可能通过提高自己的网络安全意识，以减少成为受害者的风险。
阅读本文之前，你最好先了解...
什么是数据泄露？ 数据泄露是指未经授权访问、使用或披露敏感信息的情况。这可能涉及个人信息如姓名、地址、银行账户详细信息，以及登录凭证等。
什么是infostealers？ infostealers 是一类恶意软件，旨在窃取用户计算机上的敏感信息，例如账号密码、信用卡数据、聊天记录等等。它们通常通过钓鱼链接、虚假软件下载等手段传播。
什么是双重认证（2FA）？ 双重认证是一种额外的安全层，要求用户在登录账户时提供两步验证。第一部分是用户名和密码，第二部分可以是发送到手机的验证码、指纹识别或其他生物特征识别方式。
什么是零信任安全模型（Zero Trust Security）？ 零信任安全模型是一种基于不信任原则的安全架构，认为任何用户或设备，即使在内部网络中，也应受到同样的安全检查和验证。这种模型通过权限控制和多因素认证确保只有授权的人员才能访问敏感数据。
什么是 Passkeys？（通行密钥） Passkeys 是密码的一种替代方案，使用基于公共密钥的加密技术进行身份验证。用户可以通过面部识别、指纹识别或设备PIN码登录账号，无需再输入传统密码。
继续行动起来保护自己！ 160亿条登录凭证泄露事件提醒我们网络安全形势异常严峻。无论你是否已受影响，现在都是采取行动的最佳时机：
- 更换所有重复使用的密码
- 启用双重认证（2FA）
- 尽可能使用通行密钥（Passkeys）
- 使用密码管理器进行统一管理
- 不要轻信短信链接，警惕网络钓鱼
- 定期检查账户是否遭遇数据泄露
网络世界没有绝对的安全，也不能完全寄希望于企业和机构来保护你的密码。我们普通用户只能尽可能通过提高自己的网络安全意识，以减少成为受害者的风险。
如果你有其它意见，请评论留言。