Security ·
帳號密碼外洩了怎麼辦？以及為什麼你的公司現在就該用密碼管理器
收到「你的密碼出現在外洩資料中」的通知，不是世界末日，但也不能當沒看到。這篇講收到通知後的三個步驟，以及一勞永逸的做法：密碼管理器加兩步驟驗證。
密碼是怎麼外洩的
多數時候跟你沒關係——是你用過的某個網站被駭，整批帳號密碼流到網路上。問題在於：大多數人在很多地方用同一組密碼。攻擊者拿到你在某個購物網站的密碼，會自動拿去試你的 email、你的銀行、你公司的系統。這叫「撞庫」，全自動，一秒試幾千組。
所以「那個網站不重要」不是重點，重點是那組密碼還在哪些地方用。
收到外洩通知後的三步
1. 改掉這組密碼，所有用到的地方都改。 先改 email——email 是其他帳號的「重設密碼」入口，它守住了，其他才守得住。
2. 檢查有沒有被登入過。 Google、Microsoft、LINE 都有「最近登入的裝置」頁面。看到不認識的裝置，登出它。
3. 開啟兩步驟驗證。 開了之後，就算密碼被拿走，沒有你的手機也登不進去。至少 email、銀行、公司系統這三類要開。
一勞永逸：密碼管理器
讓每個帳號用不同的、夠長的、隨機的密碼，人類記不住，所以需要工具。密碼管理器就是一本上鎖的本子，你只要記一組主密碼，其他它幫你產生、幫你記、幫你填。
| 常見顧慮 | 實際情況 |
|---|---|
| 「全部放在一起不是更危險？」 | 比「全部用同一組」安全得多。主流工具的資料在你的裝置上加密，服務商自己也看不到 |
| 「員工不會用」 | 瀏覽器會自動填，比手打還簡單。真正的阻力是第一天把舊密碼搬進去，花一個下午 |
| 「要錢」 | 有免費方案；公司版每人每月幾十塊，比一次被盜便宜太多 |
寫在最後
資安很多事要花錢、要找人，但密碼這件事只要願意，一個下午就能把公司的風險降一大截。我們幫客戶導入系統時，第一次教育訓練講的不是系統功能，是這個。