大家有沒有在「重複使用密碼」啊？
明明知道這樣不好，心裡某處是不是還在自我安慰、覺得不會那麼倒楣？
然後最近看到個資外洩的新聞，是不是也嚇得不輕？👀
看到這篇文章的你！
現在正是該把那沉甸甸的屁股抬起來的時候！！
所以我重新從根本檢視了一遍，個人也能做到的資安對策。
如果你也在煩惱「大家都在講，但我個人到底該怎麼防？」希望這篇能派上用場！
1. 結果這個最重要：真心不要再「重複使用密碼」
這是最快、也最有效的方法。
駭客常用的手法之一，是拿某處外洩的帳號密碼清單，去嘗試登入其他網站（像 Amazon 或銀行等），這叫做「密碼清單攻擊」。
只要你沒有重複使用密碼，就算 A 服務的密碼外洩，也能避免 B、C 服務被連帶入侵的骨牌式悲劇。
「我知道啊，但很麻煩」——這種心情我超懂（我以前也是）。不過這件事真的要硬著頭皮，把所有服務的密碼都改成彼此不同。
2. 密碼的時代，已經不是比「複雜度」，而是比「長度」
以前常說「大寫小寫、數字、符號都要混在一起！」，但現在的趨勢有點不同。面對暴力破解攻擊（Brute Force Attack），比起字元種類，「字元長度」才是壓倒性地更強。
建議至少 12 碼，最好 15 碼以上。
我常用的是所謂的「通關密語（Passphrase）」做法。
- ❌ 很複雜但很短：
P@ss1（一下就被破解） - ⭕️ 很長又好記：
Ringo-Kumo-Densha-2026!（機器很難解讀）
順帶一提，像「每 3 個月更換一次密碼」這種定期更換方式，如今在 NIST（美國國家標準與技術研究院）的指南裡也已經不建議了。因為勉強更換的結果，常常只是變成「尾巴的數字從 1 改成 2」之類，反而更沒用。只要沒有外洩疑慮，長而強的密碼一直用下去也沒問題！
自己的帳號有沒有外洩，後面會說明。
3. 別再靠記憶！把一切交給「密碼管理器」
如果你要在所有服務都設定 15 碼以上、彼此不同的密碼，人類的大腦根本記不住。我很早就放棄靠記憶了。
現在我都交給 Google 密碼管理工具或 Apple 密碼來記錄。使用 1Password 或 Bitwarden 之類也很好。人類只需要記住一組用來打開它們的強壯「主密碼」就夠了。
絕對不能做的事
把密碼直接存進電腦或手機的「記事本」或「Excel」裡，而且還是明文保存，超級危險。萬一不小心中了奇怪的惡意軟體，所有密碼會在一瞬間全部被拿走。
另外，密碼管理器的「自動填入」功能，在防範釣魚詐騙上也很有用。就算被導到外觀幾乎一模一樣的假網站，只要網域不同，工具就會判斷不能自動填入，這時你就能察覺「咦？怪怪的」。
4. 即使被突破也要撐得住：「多因素驗證」與「通行密鑰」
就算密碼再強，只要自己在釣魚網站上親手輸入，一樣就完了。所以要再多設一道防線。
多因素驗證（MFA / 雙重驗證）全部開啟！
只要服務有提供，就無條件全部打開。SMS 驗證雖然比沒有好，但更建議使用安全性更高的驗證器 App（例如 Google Authenticator）。
新世代王牌：「通行密鑰（Passkeys）」
近年來逐漸普及的「通行密鑰」，真的非常方便。
它是用手機的指紋辨識或臉部辨識登入，取代輸入密碼字串的方式。
因為根本不用密碼，所以從設計上就幾乎不可能外洩，是最強的機制之一。支援的服務我也一個個在改用通行密鑰。
【超重要】通行密鑰也有死角！務必守住主帳號
設定了通行密鑰，不代表就能完全安心。最近增加的案例是，保存與同步通行密鑰的雲端主帳號本身（例如 Google 帳號或 Apple ID）被盜用。
一旦主帳號被接管，裡面保存的證券公司或銀行通行密鑰也會一起被濫用。因此，Google 帳號或 Apple ID 本身的安全性（徹底啟用雙重驗證、登出可疑裝置）要盡可能拉到最高，這是使用通行密鑰的前提。
5. 清算過去：刪除沒在用的「休眠帳號」
最容易被忽略的是以前用過的購物網站或各式網站帳號。舊服務的資安標準通常比較鬆散，也更容易成為外洩溫床。
我自己是回頭翻電子郵件信箱裡過去的信，只要找到沒在用的網站帳號，就一個一個刪掉。
6. 如何確認自己的帳號是否已經外洩
如果你想著「對策我懂了，但我的資料該不會早就外洩了吧？」那就可以立刻用下面這些免費工具檢查。我自己也是戰戰兢兢地查了一下。
① 全球標準的常用網站「Have I Been Pwned」
這是資安專家也會使用、最有名的外洩確認網站。
- 進入 Have I Been Pwned，在中央搜尋框輸入你平常使用的電子郵件地址，然後按下「pwned?」按鈕即可。
- 如果出現綠色畫面，代表安全。若出現紅色畫面，就代表不妙（你過去曾有資料從某個服務外洩）。往下捲動畫面，就能確認「什麼時候」「從哪個服務」「哪些資料（密碼、姓名等）」外洩了。
② 手機或瀏覽器的「密碼檢查功能」
如果你平常把密碼存放在手機或瀏覽器裡，裝置本身通常也會提醒你是否有外洩風險。
- iPhone / Mac： 打開「設定」App ＞ 「密碼」＞ 「安全性建議」。
- Google Chrome： 打開設定中的「Google 密碼管理工具」，執行「檢查」。
如果這些工具警告你「已經外洩」，也不用慌張。只要立刻登入該服務（以及所有共用同一組密碼的其他服務），把密碼改成新的強密碼，就能避免損害擴大。
總結：自己的安全，要自己守住！
這次重新檢視對策後，我覺得以下 4 點就是現代個人的「防線」：
- 使用密碼管理器，並在所有服務設定長且不同的密碼
- 積極使用多因素驗證（MFA）與通行密鑰（Passkeys）（但一定要守住 Google／Apple 主帳號！）
- 把沒在用的舊帳號斷捨離掉
- 定期檢查是否有外洩
如果一直想著「之後再做」，往往在那個「之後」到來之前，外洩事件就先發生了。
大家不妨這週末喝杯咖啡的時候，也順便檢查一下自己的帳號周邊吧！
原文出處：https://qiita.com/koshiro_esaki/items/22b7e355068ac0dad571
1) --- 會變成分隔線（上一行必須是空白）
2) # 會變成一級標題
3) ## 會變成二級標題
4) ### 會變成三級標題
5) **粗體文字**會顯示粗體文字
6) ```當第一行與最後一行會顯示程式碼
7) 請搜尋 Markdown 語法，了解各種格式
