密码复用怎么识别：三处自查，找出共用一个密码的账号

常见问题约 2067 字 · 阅读约 6 分钟

绝大多数人的密码问题不是「某个密码太弱」，而是「同一个密码用了七八个站」。单个密码再长，只要在两处复用，一处被拖库就同时暴露两处。麻烦在于：这件事几乎没有感觉，你不会收到任何提醒，直到某天邮箱或购物账号被人登进去。

所以「密码复用怎么识别」不能靠回忆。下面给三处可以当场做完的自查，一套按账号价值排的整改顺序，以及判断到哪一步算收工的验收标准。

一、先分清三种复用，风险完全不同

不是所有复用都一样糟。按攻击者能拿到什么，可以分成三档：

类型	典型例子	一次拖库后会发生什么	处理优先级
跨站完全复用	购物、论坛、视频站用同一个密码	攻击者拿 A 站的账号密码去撞 B 站，成功率高	高，但可批量处理
同源变体复用	「密码 + 站名」「Qwer1234!」改成「Qwer1234@」	规则太好猜，脚本一次跑完所有变体	高，等于没改
高价值单点复用	主邮箱与网银、交易所共用	拿到邮箱就能重置其它账号，形成连环失守	最高，先拆这一个

第二行最容易被低估。很多人以为加了站名后缀就算「每个站不一样」，但攻击者手里有现成的变体字典，成本几乎为零。只要模式能被你自己一句话说出来，它就等于复用。

主流密码库都内置了重复项视图，这是最快的一处。以桌面端为例：

如果密码主要存在浏览器里，做法类似但覆盖面差一些：Chrome 与 Edge 的「密码检查」只测弱密码与已知泄露，不会告诉你哪两个站用了同一个密码。这也是浏览器存密码的局限之一，详见浏览器里的密码怎么整理。

重复检测只能看到你存下来的密码。有些密码你根本没入库，却仍在用——这时要靠泄露数据反查。

查邮箱而非查密码。 在 HIBP 一类服务里输入邮箱，看它出现在哪些站点的泄露库里；同一条邮箱命中多个站，且这些站你都用过同一个密码，就基本可以判定复用。
绝不把密码粘进不明网站。 任何要求「输入密码看是否泄露」的页面都要当作钓鱼处理。
看命中时间。 三年以前的泄露如果用的是你现在的密码，风险立即升级；用的是早已废弃的旧密码，优先级可以往后排。

具体查法和结果解读见密码泄露查询怎么查。这一步的价值在于：它把「我大概复用了几处」变成「这几个站的这个密码已经公开」。

前两处查的是密码本身，这一处查的是后果。拿一张纸，写下三类账号，再连线：

层级	包含什么	被拿下之后的连锁反应
第一层：身份根	主邮箱、手机号对应的 Apple / Google 账号、密码库主密码	能重置几乎全部其它账号
第二层：资金	网银、支付、证券、交易所	直接资金损失，且申诉周期长
第三层：一般账号	购物、外卖、论坛、视频、工具订阅	骚扰、冒用身份、被拿去发广告

连线规则很简单：只要某个第三层账号的密码和第一层相同，这条线就是高危路径。因为攻击者从不直接打第一层，他们从最松的那个论坛开始，一路往上撞。把这张图画完，你会得到一份真正按风险排序的清单，而不是按「想起来哪个改哪个」。

如果站点太多、手动改不过来，可以看密码管理器能自动改密码吗里哪些站支持、哪些只能手动。另外，改密码的顺序也会影响会话：有些站改完密码，旧设备的登录态仍有效，需要手动「退出所有设备」，这点在网站改密码后旧密码还能用吗里有解释。

重复密码会自然长回来：新注册一个站，图省事又用回了老密码。所以复查不需要很勤，但要有固定触发点。

要改，但可以排后面。风险不在那个论坛本身，而在于攻击者会拿它去撞你的邮箱。只要该密码没有出现在第一、第二层，可以先批量处理；一旦它与主邮箱相同，就必须当成高危立即改。

不算。这类规则一旦被识别出模式，脚本可以批量生成全部变体，破解成本几乎为零。判断标准是：如果你能一句话说出生成规则，攻击者也能。

常见原因是同一条目被保存了两次（不同域名、带 www 与不带 www）、或是导入时产生了重复条目。先合并重复条目再判断，别急着改密码。合并方法见密码库搜索不到条目里关于域名匹配的说明。

这正是密码库存在的意义：你只需要记住一个主密码。主密码用四个以上不相关词组成的长短语，比随机串更好记也够强，选法见主密码怎么选。

识别密码复用，靠的不是回忆，而是三张清单：密码库的重复项列表、泄露比对结果、按身份根 / 资金 / 一般账号画的依赖图。三者取并集，就得到真正的待改项。整改顺序永远是先拆身份根，再改资金，最后批量处理一般账号，改完删掉旧副本，两周后重跑一次检测作为验收。