2023年10月，用户应对某快递公司数据库被拖库，信息泄露400万条用户信息在暗网标价出售。措施姓名、用户应对电话、信息泄露家庭住址，措施打包价0.5个比特币。用户应对这不是信息泄露电影情节，是措施真实发生的日常。用户信息泄露早就不算新闻了，用户应对但大多数人直到接到诈骗电话那一刻，信息泄露才意识到自己早就“裸奔”了。措施

先说一个反直觉的用户应对事实：信息泄露后，最危险的信息泄露往往不是密码被盗，而是措施“社工库”的交叉比对。黑客拿到A平台的手机号，再去B平台撞库，用你习惯的昵称、生日、常用密码组合，能拼出完整的人物画像。我认识一个做安全的哥们儿，他给自己每个网站都设了不同密码，结果还是中招——因为他在某论坛的签名里写了“1987年生，喜欢米兰·昆德拉”。攻击者用这个信息猜出了他的邮箱密码。你看，泄露的未必是密码本身，而是你无意间散落的碎片。

发现泄露后，第一件事不是改密码，是确认泄露范围。去“Have I Been Pwned”这类网站输入邮箱，能查到哪些平台出过事。如果只是某个小论坛的泄露，改掉该平台密码就行。但要是邮箱、支付、社交三件套同时中招，那就得按优先级处理。先冻结支付账户，再改邮箱密码，最后处理社交账号。顺序错了，攻击者可能通过邮箱重置你的支付密码。我见过有人先改微博密码，结果支付宝被洗劫一空——因为支付宝的找回密码邮件发到了那个已经被控制的邮箱里。

改密码也有讲究。别用“旧密码+1”这种把戏，黑客的字典里早就有“password2023”“password2024”的变体。更别用“姓名拼音+生日”，社工库一查一个准。理想方案是用密码管理器生成随机字符串，但如果你嫌麻烦，至少做到“三不重复”：邮箱、支付、社交的密码互不相同。另外，开启两步验证比换密码更管用。短信验证码虽然能被拦截，但总比没有强。有条件的话上硬件密钥，比如YubiKey，那玩意儿插上才能登录，钓鱼网站拿它没辙。

手机号泄露是最麻烦的。你没法像改密码那样“换号”，因为绑定了太多东西。能做的只有两件事：一是开通运营商的“高频骚扰电话拦截”服务，移动联通电信都有，免费；二是给手机号设个“副号”或“小号”，比如阿里小号、移动和多号，以后注册不重要的网站就用小号。我自己的主号只留给银行和快递，其他一律用小号。半年下来，骚扰电话少了七成。

最后说个容易被忽略的点：泄露后别急着删聊天记录。如果遭遇诈骗，那些记录是报案的关键证据。截图、录屏、保存对方账号，然后去“国家反诈中心”APP举报。虽然追回钱款的概率不高，但至少能让那个账号被封。我朋友去年被冒充客服的骗了八千，就是靠聊天记录里的收款码，帮警方锁定了两个洗钱账户。

信息泄露像漏水，堵不住所有缝隙。但你可以把贵重东西挪到高处，别让水泡了就行。定期查邮箱泄露、用密码管理器、开两步验证、主号小号分开用——这四件事花不了半小时，能挡住八成以上的麻烦。剩下的，就看运气了。