上周同事阿明加班到凌晨，倒头就睡，第二天早上醒过来手机震个不停。
饿了么发了三条订单提醒。
他愣了。
自己根本没点外卖。
查了下订单，二十多块的卤鸭头加冰可乐，地址填的是江宁区一个他从来没去过的老小区，骑手刚取完餐，人都快到楼下了。
他赶紧联系骑手取消订单，又去翻自己的登录记录，发现凌晨两点多，有个外地的IP用他的账号登了平台，没改密码，没动余额，就直接下了个单。
折腾了一上午才搞明白——他之前三年前在一个早就停更的小众户外论坛注册的账号密码，被人扒了出来，拿着那套通用密码，挨个试了他常用的几个APP，一下就中了饿了么的登录。
这就是撞库。
你以为密码够复杂就安全？想多了
很多人对撞库有误解，觉得是黑客费尽心机黑进你的账号偷东西，根本不是。撞库不是黑客特意盯着你一个人下手，说白了就是黑产手里有一大摞从各个小网站、小工具平台泄露出来的账号密码，他们把这些信息整理成字典，写个自动运行的小脚本，挨个儿去试淘宝、外卖、视频网站、社交APP的登录框。
对，就像你手里有一大串配钥匙的坯子，挨个去开你家小区楼下所有的信箱，哪个能捅开，哪个就是你的。
根本不需要什么高超的技术。成本低到可以忽略。
我之前跟一个做网络安全的朋友吃饭，他说现在黑产手里的密码字典，少说有几十亿条，都是从过去十年各种大大小小的网站泄露事件里攒出来的。你三年前在某个免费壁纸网站设的密码，三年前在某个查成绩的临时平台填的手机号，可能现在还躺在某个黑产的网盘里，等着脚本挨个碰运气。
真的。别觉得自己账号没什么值钱的，人家脚本跑一遍，碰中一个就算赚一个。
别觉得撞库离你远，你可能早就成了别人的“库料”
很多人说“我从来不在乱七八糟的网站注册，怎么会被撞？”
别嘴硬。
你有没有为了去个水印，在某个不知名的小工具站输过手机号？有没有为了领个新人优惠券，在某个连锁门店的小程序填过自己的常用密码？有没有图省事，把所有APP的密码都设成同一个？
通用密码是撞库能成功的核心原因。
我自己之前就犯过这毛病。前几年嫌记密码麻烦，所有账号的密码都是同一个，直到去年我常逛的一个小众胶片论坛被爆数据库泄露，我当天晚上抱着手机把所有常用账号的密码全改了，从外卖到网银，从视频网站到办公软件，改到手指都抽筋。
想想都后怕。
之前我表妹的抖音号就是这么被盗的。她之前在一个做表情包的小网站注册，设的密码和抖音一模一样，那个小网站根本没做任何加密，数据库直接被人爬走，骗子拿着密码登了她的抖音，给她列表里所有高中同学发消息，说自己刚到外地手机卡欠费，急着转两百块交房租。真的有三个同学转了钱，等她找回来账号的时候，骗子早就把好友删了跑路。
你说盗你号能干嘛？人家才不稀罕你账号里那点余额，要么拿你号发广告薅平台流量，要么拿你号骗你的熟人，要么把你的账号倒手卖给做灰产的人，几十块钱一个，比你自己留着有用多了。
真要防撞库，根本不用记一堆复杂密码
很多人一听到要防黑客，就头大，说我哪有精力记一堆乱七八糟的复杂密码？
真的不用。
二次验证是成本最低的防撞库手段。
你别嫌每次登录要输短信验证码麻烦，就这一步，能挡住绝大多数的撞库攻击。就算坏人拿着你泄露的密码登你的账号，他没有你的手机验证码，根本进不去。我之前嫌麻烦关了好几个平台的二次验证，上次阿明出事之后，我当天就把所有能开的二次验证全打开了，也就花了十分钟的事。
还有个小技巧，根本不用记新密码，只要给每个平台的密码加个专属后缀就行。比如你常用的核心密码是“abc123”，那饿了么的密码就设成“abc123elm”，淘宝的就设成“abc123taobao”，你自己记起来不费劲，但是坏人拿着你之前泄露的“abc123”，根本登不上你现在的账号。
哦对，还有个最基本的，下次再碰到那种连正规备案都没有的小网站，要你填手机号加密码的，别随便就填。你那点信息在黑产手里不值钱，但架不住人家拿你的信息去撞库，最后惹麻烦的还是你自己。
说真的，上次阿明那事之后，我现在每次收到异地登录提醒，第一反应就是先改密码。
真不是胆小。
谁也不想睡一觉起来，自己的账号被人拿去乱搞对吧？