160億密碼外洩：如何檢查你是否受影響

2026年1月，資安研究人員發現了30個未受保護的資料庫，包含約160億個使用者名稱-密碼組合——史上最大的憑證外洩事件。外洩的資料包括Google、Apple、Facebook、GitHub、Telegram甚至政府平台的登入憑證。

如果你使用網路，你的憑證很可能已經在這次外洩中。

外洩了什麼

外洩內容包括：

• 30個資料集中的160億條登入憑證
• 部分資料集各包含多達35億條記錄
• 幾乎所有主要線上服務的憑證
• 包括舊的外洩資料和新的資訊竊取器日誌
• 很多情況下還包括工作階段令牌、cookie和中繼資料

這不僅僅是舊外洩資料的重新包裝。研究人員發現了新編譯的、結構化的資料，可以直接被利用——包括帶有活躍工作階段令牌的最新資訊竊取惡意軟體日誌。

如何檢查你是否受影響

第1步：檢查 Have I Been Pwned

造訪 haveibeenpwned.com 並輸入你的電子郵件地址。這個資料庫會定期更新外洩資料，會告訴你哪些外洩事件包含了你的憑證。

第2步：使用密碼管理器的外洩監控

大多數密碼管理器提供外洩監控：

• 1Password：Watchtower 會提醒你被外洩的帳戶
• Bitwarden：資料外洩報告顯示暴露的憑證
• Dashlane：暗網監控掃描你的資訊
• Google密碼管理員：在 passwords.google.com 檢查密碼

第3步：檢查LINE安全

台灣用戶請注意：

1. LINE：設定 → 帳號 → 登入中的裝置
2. 如發現可疑登入，立即修改密碼
3. 啟用LINE的登入驗證碼功能

第4步：監控金融帳戶

即使你的電郵沒有出現在已知外洩中，也要監控銀行和信用卡帳單是否有未授權活動。攻擊者通常會先在金融服務上測試憑證。

如果確認被外洩該怎麼辦

立即行動

1. 立即更改被外洩的密碼

從最重要的帳戶開始：

• 電子郵件帳戶（用於密碼重設）
• 銀行和金融服務
• 雲端儲存（Google雲端硬碟、iCloud、Dropbox）
• 社群媒體帳戶

2. 在所有地方啟用雙因素驗證

即使攻擊者有你的密碼，2FA也能阻止未授權存取：

• 使用驗證器應用程式（Google Authenticator）而非簡訊
• 重要帳戶考慮使用硬體金鑰（YubiKey）
• 首先在電郵啟用2FA——它是其他一切的主金鑰

3. 檢查未授權存取

檢視帳戶的最近活動：

• Google：myactivity.google.com
• LINE：設定 → 帳號 → 登入中的裝置
• Facebook：設定 → 安全性 → 登入位置

4. 撤銷可疑工作階段

登出所有你不認識的裝置和工作階段。大多數服務都有「登出所有裝置」選項。

長期保護

為每個帳戶使用唯一密碼

憑證外洩危險的原因是密碼重用。如果你在多個網站使用相同密碼，一次外洩就會危及所有帳戶。

使用密碼管理器為每個帳戶產生和儲存唯一的強密碼。

考慮切換到通行金鑰

通行金鑰抗釣魚且不會在資料外洩中外洩：

• Google、Apple、Microsoft現在都支援通行金鑰
• 使用生物辨識驗證（指紋、臉部）代替密碼
• 沒有密碼就沒有可竊取的東西

設定外洩警報

• 啟用 Have I Been Pwned 通知
• 開啟密碼管理器的外洩監控
• 設定Google暗網監控

今後如何安全共享憑證

憑證最終被外洩的原因之一是不安全的共享做法。人們把密碼貼在：

• LINE或Slack訊息（儲存在伺服器上）
• 電子郵件（通常未加密，可搜尋）
• 簡訊（備份到雲端）
• 共享文件（持久存取）

使用安全的、會過期的管道

當你需要與他人共享密碼時：

1. 永遠不要透過普通訊息以明文傳送密碼
2. 如果雙方都使用同一個管理器，使用密碼管理器的共享功能
3. 一次性共享使用自動銷毀的安全便箋

LOCK.PUB 等服務允許你建立密碼保護的便箋：

• 閱讀一次後自動銷毀
• 在設定時間（1小時、24小時）後過期
• 檢視後無法再次存取

範例工作流程：

• 建立包含密碼的安全便箋
• 設定1小時後過期
• 透過一個管道傳送連結
• 透過另一個管道傳送存取密碼
• 檢視後憑證無法再次取得

更大的圖景

這160億憑證外洩是更大問題的症狀：密碼從根本上是脆弱的。

關鍵統計：

• 94%的密碼在帳戶間被重用
• 只有3%的密碼符合NIST複雜性要求
• 基於憑證的攻擊佔所有外洩的近一半

產業正在轉向通行金鑰和無密碼驗證。在此期間：

• 在所有地方使用唯一密碼
• 在所有帳戶啟用2FA
• 定期監控外洩
• 只透過安全的、會過期的管道共享憑證

現在就檢查

不要等到發現未授權扣款或帳戶被鎖定。今天花10分鐘：

1. 在 haveibeenpwned.com 檢查你的電子郵件地址
2. 執行密碼管理器的外洩報告
3. 在最重要的10個帳戶啟用2FA
4. 更改出現在外洩中的密碼

外洩已經發生了。重要的是你多快做出回應。

用自動銷毀的安全便箋安全共享憑證 →