你以为“账号被盗”是被黑客点对点盯上了？其实，大多数情况下，是由于第三方平台数据泄露，导致你的邮箱和密码被泄露。攻击者利用自动化脚本进行“撞库攻击”，在各大网站批量尝试登录。本文将提供5个常用的账号泄露自检工具，并附带一份“10分钟止损清单”，助你快速建立防御防线。
一、核心认知：泄露 ≠ 已被盗用
在开始自检前，需要明确两个概念：
- 泄露 (Breached): 指你的信息出现在了黑客公开或售卖的数据库中，你的账号进入了“高风险候选池”。
- 被盗 (Compromised): 指攻击者已经利用泄露的信息成功登录，甚至完成了改绑或盗刷。
真正的风险源头是“密码复用”：如果你的银行账号和某个不知名论坛使用的是同一套密码，一旦论坛泄露，银行账号也就危险了。
二、5个免费自检工具（按场景选择）
🛡️ 安全提示： 正常的泄露自检只需要输入邮箱或用户名。遇到任何让你输入“当前真实密码”的网站，请直接关闭。
1. Mozilla Monitor (火狐安全监控)
适合人群：普通用户、网购/社交重度用户。
- 官网：monitor.mozilla.org
- 功能：背靠 Firefox 品牌，数据源权威。输入邮箱即可查询是否出现在已披露的泄露事件中。
- 建议：推荐注册并开启“长期监控”，一旦未来有新泄露，它会第一时间发邮件提醒你。
2. Have I Been Pwned (HIBP)
适合人群：想快速确认“我这邮箱有没有上榜”的用户。
- 官网：haveibeenpwned.com
- 地位：全球网络安全界的“黄金标准”。
- 操作：输入邮箱 → 查看结果。如果变红 (Oh no — pwned!)，请重点回想你在该泄露网站是否使用了复用密码。
3. Google Password Manager (密码健康检查)
适合人群：Chrome / Android 生态用户。
- 官网：passwords.google.com
- 功能：它不仅查泄露，还能检查你的密码是否“过于简单”或“重复使用”。
- 行动：运行“密码检查”，优先修改所有被标红的高风险账号。
4. Microsoft Edge Password Monitor
适合人群：Windows / Edge 办公用户。
- 功能：微软内置的企业级安全功能。在 Edge 设置中开启“密码监视器”，浏览器会自动比对暗网数据，发现风险即时弹窗。
5. 进阶检索：暴露面体检 (OSINT)
对于进阶用户或安全从业者，可以使用更深度的搜索引擎来盘点“信息暴露面”。
- 工具：Intelligence X & DeHashed
- 用途：查询公开网页、存档或索引库中出现的邮箱相关线索。
- ⚠️ 合规警告：这些工具仅用于防御性自查，严禁用于查询他人隐私或进行任何非法社工行为。
三、命中泄露后的“10分钟止损清单”
如果发现账号“红了”，请不要恐慌。照着下面这套 SOP (标准作业程序) 操作，能将风险降到最低：
1. 核心资产止损（优先级：最高）
- 立刻修改邮箱密码：邮箱是所有账号的“总钥匙”，必须死保。
- 开启 2FA (双重验证)：能开就开。即使黑客有密码，没有验证码也进不去。
2. 切断潜伏链路
- 一键退出设备：在账号设置里点击“退出所有已登录设备/会话 (Log out all sessions)”，防止攻击者利用旧 Cookie 继续潜伏。
- 检查转发与授权：检查邮箱设置，确认没有自动转发给陌生人的规则；检查第三方应用授权，移除不认识的 App。
3. 阻断“撞库”风险
把所有使用“复用密码”的账号全部换血。优先顺序：
- 资金类：银行、支付宝、PayPal。
- 消费类：电商、外卖、打车（这类账号通常绑定了免密支付）。
- 社交类：微信、TG、X（防止被用来诈骗亲友）。
4. 终极方案：引入密码管理器
彻底结束“记密码地狱”。使用 1Password, Bitwarden 或浏览器自带的密码管理功能：
- 为每个网站生成独立的 16 位以上随机强密码。
- 让软件帮你记，你只需要记住一个主密码。
- 这是防御撞库攻击的唯一终极解。
💡 写在最后
本文适用于个人用户、远程办公人群以及需要进行账号安全自查的中小团队。
网络安全没有绝对的“铜墙铁壁”，但有合格的“免疫系统”。定期使用工具自检，并坚持“一站一密 + 2FA”原则，你会比绝大多数互联网用户更安全。