2023年7月，密码明文某连锁酒店集团的传输会员系统被拖库，超过1.2亿条入住记录在暗网明码标价。漏洞调查人员发现，危害攻击者没有用任何高级渗透技巧——他们只是密码明文在酒店Wi-Fi覆盖范围内抓包，就拿到了大量明文密码。传输因为该集团的漏洞APP登录接口，至今还在用HTTP协议传输数据。危害

明文传输的密码明文危害，远比普通人想象的传输更直接。密码在网络上裸奔时，漏洞任何一个中间节点——路由器、危害运营商网关、密码明文公共Wi-Fi的传输提供者——都能像看明信片一样读到它。更麻烦的漏洞是，很多人习惯“一套密码走天下”。攻击者拿到一个明文密码，就等于拿到了你的邮箱、网银、甚至公司VPN的钥匙。2019年，某云服务商被撞库攻击，起因竟是员工在个人论坛用了与办公系统相同的密码，而该论坛的登录接口恰好是明文传输。

有些开发者会辩解：“我们加了HTTPS，密码传输是加密的。”这话只对了一半。HTTPS只保护传输过程，但不少系统为了调试方便，会在日志里记录明文密码。我见过某电商平台的排错日志，里面完整记录了用户手机号、密码和验证码，日志文件权限设为777，任何能访问服务器的人都能直接下载。这就像你把家门锁得死死的，却在门口垫子底下放了备用钥匙。

还有一类典型场景是内网系统。很多企业觉得“内网是安全的”，于是OA、财务系统全部明文传输。但内网真的安全吗？2022年某制造企业的生产线控制系统被入侵，起因只是内部员工下载了一个带木马的破解软件。木马在内网横向移动时，顺带抓取了多个系统的明文密码——包括控制PLC的管理员账号。攻击者没有直接破坏设备，而是修改了PLC的定时指令，导致整条产线停摆三天。

更隐蔽的风险来自老旧系统。有些银行ATM的前置机还在用20年前的协议，密码以BCD码形式明文存储。2018年某地警方破获一起ATM盗刷案，犯罪团伙就是通过物理接触ATM的维护端口，直接读取了持卡人的密码字段。这类系统升级成本高，但风险敞口却实实在在摆在那里——就像一栋老楼，防火通道早就不达标，但物业觉得“几十年没出事”就一直拖着。

密码明文传输的根源，往往不是技术难度，而是成本权衡。很多团队觉得“先上线再说”，等到用户量大了再改造，却发现牵一发而动全身。但风险不会因为忽视就消失，它只会积累到某个临界点，然后以最丑陋的方式爆发。与其事后花几百万做危机公关，不如在开发阶段就强制使用加密协议，对日志做脱敏处理。这不需要高深的技术，只需要把安全当成默认选项，而不是可选项。