弱密码和重复密码有多危险

上一篇我们讲了「记不住」带来的麻烦，这一篇换个角度：讲一讲在「记不住」的压力下，人被迫交出的那些弱密码、重复密码，在真实攻击面前到底有多脆。很多人对安全风险的想象是「我又不是什么名人，谁会来黑我」,但现实里绝大多数入侵根本不是定向攻击，而是规模化、自动化、碰运气式的批量薅羊毛。看懂攻击是怎么运作的，你才会明白密码这件事为什么值得认真对待——它保护的不是你的名声，而是你钱包里的钱和你邮箱里那串能重置一切的密钥。

三种主流攻击方式，机制完全不同

网络上针对密码的攻击，听起来神乎其神，拆开来看主要就是三种套路。理解它们各自的玩法，才能理解为什么有些防御有效、有些纯属心理安慰。这三者的共同点是：它们都不需要黑客什么高超技术，大部分工作是程序自动跑的。

第一种叫暴力破解，也叫穷举。原理最粗暴：把所有可能的密码组合一个一个试，直到撞上为止。纯数字六位密码只有一百万种组合，普通显卡一秒钟就能跑完；而一位一位地增加长度和字符种类，组合数会呈指数级膨胀，破解成本随之暴涨。暴力破解最怕的就是长度，因为它没有捷径，只能硬算。

第二种叫字典攻击。它不真的穷举所有组合，而是先收集一个「常用密码清单」——从历年泄露事件中整理出来的高频密码，比如各种生日、年份、单词加数字的组合——然后拿着这个清单去批量试。因为大多数人的密码本来就在这个清单里，所以字典攻击的命中率极高，成本却极低。它不需要算多久，往往几分钟就能试完几万个常见密码。

第三种叫撞库，这是对普通人威胁最大的一种。攻击者拿某个网站泄露出来的账号密码名单，去批量尝试登录其他网站。它的逻辑前提非常现实：大量用户在不同网站用了同一套账号密码。只要你在一个防护薄弱的小论坛泄露过账号，攻击者就能拿着它去碰你的邮箱、支付和社交账号。撞库之所以可怕，是因为它利用的不是你一个人的失误，而是整个互联网普遍的坏习惯。

弱密码到底有多脆：算一笔成本账

光说「弱」没有感觉，我们直接算破解成本。假设攻击者手里有一台性能平平的机器，每秒能试几十万次。下面这张图是大致的量级感受，数字只做数量级参考，重点看趋势：越往右边，破解难度不是线性上升，而是爆炸式上升。

看出来了吗？从六位纯数字到十二位随机混合，耗时从一秒膨胀到以天计，而你为此付出的代价，只是多敲几个字符。更现实的问题是：绝大多数人的密码，都落在图表最左边那一列附近。这就是为什么字典攻击和撞库这么有效——因为大家的密码高度雷同，撞对一个算一个。

下面这张表是现实里最常见的弱密码类型，以及它们为什么不堪一击：

注意最后一行。它就是上一篇说的「套路化改密码」,在攻击视角下被单独列为一类弱密码——因为破解者发现，拿到任意一个样本后，剩下的密码根本不用试，猜都能猜出来。

这里还要补一个常被忽略的点：弱密码的危害，不只是「容易被猜出来」,更是「它让字典攻击和撞库的工具直接命中」。当你的密码在全网泄露清单里排进前十万，那它就不是你的密码，而是全世界黑客共享的公共钥匙。

重复密码的一锅端效应

现在说最关键的部分：为什么「一个网站用一个密码」这件事，比密码本身长一点短一点重要得多。

假设你在 A、B、C、D 四个网站用了同一个密码。A 网站防护稀烂，某天被拖库了，你的账号密码跟着泄露进黑市。这件事你完全不会知道——A 可能只是个你早就忘了的小论坛。但攻击者手里已经有了你的账密对，接下来他们会拿着它，对着邮箱、电商、支付、社交网站挨个试。这就是撞库，而你在四个网站上，等于主动把家门钥匙复制了四份，分发到了四个不相干的地方。

更要命的是邮箱这个「根节点」。几乎所有网站找回密码，都是通过邮箱发重置链接。一旦你的邮箱密码和别处重复，而那个别处又泄露了，攻击者就能直接进你的邮箱，然后从邮箱里点遍所有「忘记密码」,把你全网账号挨个重设一遍。到那一步，你失去的就不只是几个账号，而是整个数字身份的控制权。

左边那种情况，最坏结果只是那个小论坛的账号被盗，你改一个密码就完事。右边这种情况，一个小站的泄露，会顺着撞库链条烧到你的支付账户和邮箱——而邮箱恰恰是几乎所有网站找回密码的「根」,邮箱一破，等于城门洞开。

真实世界里，泄露是常态而不是意外

很多人觉得「我从没听说过谁真被盗号」,所以风险离自己很远。但从公开报道看，数据泄露几乎每周都在发生，规模从几万条到几亿条不等；而且大部分泄露你根本不会听说，因为被拖的往往是一些你叫不上名字的小站，它们甚至没有义务通知你。

更麻烦的是，泄露出来的账密不会被用完即弃，它们会被整理成字典、做成撞库工具，在黑市里长期流通，几年后还在被人反复拿来尝试。也就是说，你三年前在一个小网站设的密码，今天依然可能被某个自动化脚本捞出来，撞进你刚注册的新服务里。这就是为什么很多人觉得「我明明很久没用那个密码了，怎么还是被盗」——因为攻击不在乎你用不用，它只管批量碰。

这就解释了一个看似矛盾的现象：你明明已经很小心了，为什么还是觉得不安全？因为风险不是来自你做错了什么，而是来自「你在多个网站重复使用密码」这个结构性事实。这个结构不改，你防住了这个，防不住那个。

泄露的数据，在黑市里是怎么流通的

很多人以为泄露就是「某个网站被攻破了，然后就没有然后了」。真实的流通链条比这长得多。

第一步，拖库数据被打包成压缩包，在地下论坛即时叫卖，价格从几十块到几万块不等，看数据量和含金量。第二步，这些账密对被批量清洗、去重、打标签，整理成「某地区某行业泄露合集」之类的数据集。第三步，它们被喂给撞库工具和字典生成器，变成自动化攻击的弹药库。第四步，也是最久的一步——这些数据会被反复利用，一用就是好几年，因为攻击者知道，总有人在不同网站复用旧密码。

这就是为什么三年前的一次泄露，今天还能咬你一口。你以为那件事早就翻篇了，但在攻击者的硬盘里，它一直是一份随时可用的资产。

再看一组常见密码的真实破解感受

我们把日常生活里最常出现的密码，按「好不好破」排一排，你会更有体感。

像「123456」「qwerty」「111111」这类，在字典攻击里排最前面，基本等于没锁。像「姓名拼音加生日」,比如「zhangsan1990」,攻击者只要稍微知道你是谁，就能从社交资料里拼出来。像「单词加年份」,比如「summer2025」,这种结构在历年泄露数据里出现得太多，已经被字典生成器重点覆盖。

真正难破的，反而是那种看起来毫无规律的随机串：十几个字符，大小写数字符号乱排。它不靠「复杂」,而是靠「长」和「无规律」,让字典猜不着、让穷举跑不完。记住这个直觉：长度比花样重要，无规律比有创意重要。

普通用户最容易踩的三个误区

最后纠三个很多人深信不疑的误区，它们比弱密码本身更危险。

误区一：我的密码里有大小写和符号，就够安全了。错。决定安全的主要是长度和是否独立，不是你有没有塞符号。一个十二个字符、从不复用的随机密码，比一个精心设计但到处复用的短密码安全得多。

误区二：我又没什么钱，黑客看不上我。错。撞库和字典攻击都是自动化的，它不挑对象，批量试就是了。你觉得「没油水」,但你的邮箱、你的社交账号、你的支付，对攻击者都是有用的跳板。

误区三：我已经很久没被盗，说明我很安全。错。没被盗只说明你还没被撞上，不代表你的密码清单是干净的。风险一直躺在那里，等某次泄露事件把你的旧密码重新激活。

认清这三个误区，你才会真正重视「独立」和「随机」这两件事，而不是自我安慰。

那到底要怎么做

把上面的机制翻译成行动，其实就三条，而且按重要性排序：

第一，每个网站一个独立密码，绝不复用。这是最重要的一条，重要性超过密码长度。只要不复用，哪怕某个密码短一点，损失也局限在一个网站。

第二，密码要长且随机，长度优先于花样。十几个字符的随机串，比精心设计的「字母加符号加年份」难猜得多。长度带来的组合空间增长，是最朴素也最可靠的防御。

第三，登录入口要加上第二道验证(2FA)，让光有密码也进不来。这是后面章节会细讲的功能，它相当于在门锁之外再加一道门闩。

问题来了：每个网站一个、又长又随机，这跟人脑记忆完全是死敌。手动做到这三条，等于把自己推进上一篇说的死循环。答案只能是一个：让工具来生成、让工具来保管，人只负责记住一个主密码。这正是下一篇要聊的——为什么这个工具不能直接用浏览器自带的那个。

回头总结一下这一篇的核心：攻击不挑人，批量自动化；弱密码破起来几乎不要钱；重复密码让一个小站的泄露变成全网事故。这三件事叠在一起，决定了我们不能靠「更小心」来防身，只能靠「工具生成、工具托管、入口加第二道锁」这套组合拳。下一篇我们先拆穿一个最常见的借口——浏览器不是已经帮我存密码了吗？

延伸阅读

• 想知道「每个网站一个独立密码」具体怎么落地，见本章《密码管理器能做什么：一次弄懂核心功能》。
• 密码库最终要放在自己的设备上，可以参考 家用 NAS 选购与上手指南，了解本地存储方案。
• 家里网络如何隔离与防护，可顺带翻一翻 软路由实战手册。