2021年，黑客户密某社交平台爆出5亿条用户数据被公开叫卖。过撞溯源结果令人脊背发凉——不是库获拖库，不是取账内鬼，而是黑客户密撞库。攻击者拿着从其他网站泄露的过撞邮箱密码组合，像试钥匙一样挨个捅你这扇门。库获我认识的取账一个程序员朋友，他的黑客户密微博、知乎、过撞豆瓣账号在同一天被异地登录，库获密码全是取账同一个。他苦笑说："我早就知道会这样，黑客户密但就是过撞懒得改。"

撞库的库获逻辑简单到令人发指：大多数人习惯在一两个密码上偷懒。你在小论坛注册时随手设的"abc123456"，可能就是你网银的密码。黑客不需要攻破大厂的防火墙，他们只需要在暗网上花几块钱买一份泄露数据库，然后写个脚本批量测试。速度有多快？一台普通电脑每秒能试上千次，配上代理池和验证码识别，一个晚上就能扫完百万级账号。

更讽刺的是，很多平台的防御形同虚设。我测试过十几个主流网站，有些居然不限制登录失败次数，有的连图形验证码都没有。这意味着撞库工具可以无限尝试，直到撞对为止。还有个细节——黑客会刻意避开那些有短信验证的账号，专挑只靠密码登录的老用户下手。你越嫌麻烦，就越容易成为猎物。

撞库成功后，黑客不会马上改你密码。他们先静默登录，翻你的订单记录、通讯录、甚至聊天记录。我见过一个案例，受害者支付宝被转走八千块，黑客居然还帮他买了张飞机票——用他的里程积分。这种"顺手牵羊"式的操作，远比直接盗号更隐蔽，也更难追查。等你发现时，对方早已把关联账号洗劫一空。

有人觉得，我密码设得够复杂总行了吧？未必。撞库攻击者手里握着的是你所有历史密码的集合。你三年前在某游戏论坛用过的那个"qwerty123"，可能早就进了数据库。黑客会用这个旧密码去试你现在的邮箱，再用邮箱重置其他账号。这叫"密码喷洒"，比单纯撞库更阴险——它利用的是你密码更新的惰性。

别指望平台替你兜底。大多数公司只做最基本的登录风控，遇到异常IP顶多发个提醒邮件。真正管用的，只有你自己把密码拆开——银行用一个，社交用一个，购物网站再换一个。哪怕做不到完全随机，至少在关键账户上别跟那些小网站共用密码。我自己的做法是：把常用密码分成三档，最弱的那档只用来注册一次性服务，最强的那个配了二次验证，还绑定了硬件密钥。

说到底，撞库不是高深黑客技术，而是对人性的精准打击。它赌的就是你懒、你嫌麻烦、你觉得"这种事轮不到我"。可现实是，每次泄露事件里，总有几千万人用着"123456"或"password"。下次登录时，不妨看一眼你的密码管理器——如果里面存了二十个不同的强密码，恭喜你，黑客可能已经绕道走了。