我的密码泄露了吗？怎么查，查到了怎么办

MaciPhoneAndroidWindows更新

你的手机或电脑多半已经能告诉你。苹果说，iPhone 和 Mac 可以安全监控你的密码，并在密码出现在已知数据泄露中时提醒你；Google 的密码安全检查也会标出已泄露的密码。查到之后，在那个网站和所有用过同一密码的地方把它改掉，再开启双重认证。

简要回答

在 iPhone 或 Mac 上打开“密码”App，查看“安全”（Mac 上叫“安全性”）；其他设备上，可以在 Chrome 里或 passwords.google.com 上运行 Google 的密码安全检查。两者都会标出出现在已知泄露中的已保存密码。把标出的密码在该网站和所有重复使用它的账号上改掉，并开启双重认证。

在 iPhone 或 Mac 上怎么查？

用“密码”App。苹果的使用手册说，iPhone 和 Mac 会自动识别容易猜到或多次使用的弱密码，还可以安全监控你的密码，在密码出现在已知数据泄露中时提醒你。

在 iPhone 上：

  1. 前往“密码”App。
  2. 轻点“安全”。如果账户密码较弱或已泄露，会显示信息解释这个问题。
  3. 轻点一个账户，再轻点“更改密码”，然后在网站或 App 中更改密码。

在 Mac 上：

  1. 前往“密码”App。
  2. 点按边栏中的“安全性”。这里会列出使用弱密码或已泄露密码的账户。
  3. 点按一个账户，再点按“更改密码”，然后在网站上或 App 中更改密码。

这项检测可以关掉，所以先确认它开着。iPhone 上，前往“设置”App，轻点“App”，再轻点“密码”，打开“检测已泄露的密码”。Mac 上，在“密码”App 中选取“密码”>“设置”，然后选择“检测已泄露的密码”。

用 Google 密码管理工具怎么查？

运行“密码安全检查”。Google 说，它可以检查你 Google 账号中的密码是否已泄露、是否太弱，以及是否用于多个账号。

  • 电脑上的 Chrome： 依次点击右上角的“更多”图标 >“密码和自动填充”>“Google 密码管理工具”，然后在左侧选择“检查”。
  • Android 上的 Chrome： 依次点按“更多”图标 >“设置”>“自动填充和密码”>“Google 密码管理工具”>“检查”。
  • 其他浏览器： 访问 passwords.google.com，依次选择“前往‘密码安全检查’”>“检查密码”。你可能需要登录。

Google 说，被盗用的密码和用户名组合已在网络上公开，因此不安全，建议尽快更改。

还有别的查法吗？

新加坡网络安全局（CSA）2020 年发布的数据泄露防范建议说，可以到 have i been pwned（HIBP）网站查看自己的电子邮件账户信息是否在过去的数据泄露中被泄露。HIBP 标出的邮箱地址，是以前某个在线平台泄露时、作为登录凭证被暴露的地址。CSA 说，这不一定表示邮箱账户已被盗用，但应考虑换成强密码，并为这个账户开启双重认证。

密码泄露了，该怎么办？

先改掉它，再把所有用过它的地方都改掉。CSA 关于密码安全的建议说，网络犯罪分子可以用以往机构数据泄露中被盗的登录凭证进入你的账户，这种做法叫撞库（credential stuffing）；如果你的所有账户都用同一套登录凭证，他们也可能进入那些账户。

  1. 改掉泄露的密码。 CSA 说，如果你认为某个账户的密码已被盗用，要立即更改密码，并在可用时开启双重认证。新加坡反诈骗网站 ScamShield 提醒，不要点击主动发来的电子邮件或信息里的链接，即使它们看起来来自银行或政府机构，所以请自己输入网址，或者用官方 App 去改。
  2. 把重复使用的地方也改掉。 CSA 说，如果其他账户也用了同一个被盗用的密码，要立即重设所有这些密码。
  3. 使用密码管理工具。 CSA 建议考虑使用信誉良好的密码管理工具，这样只需要记住解锁它的那个主密码，并且只从 Play 商店（Android）和 App Store（iOS）等官方渠道下载。它还建议每个账户用不同的密码，长度至少 12 个字符，包括大写和小写字母、数字和/或特殊字符。
  4. 开启双重认证。 CSA 说，即使网络犯罪分子拿到了你的密码，只要拿不到其他验证因素，你的账户仍然受到保护。

如果已经登录不了账户，CSA 说要直接联系平台服务提供商寻求帮助。ScamShield 也说，如果电子邮件或社交媒体账户被盗用，要告诉所有联系人，并向相关的邮件服务商或社交平台报告。账户被别人登录时的完整步骤，见有人登录了你的账户（英文）。

在中国大陆和新加坡，可以向哪里反映？

中国大陆。 12321 网络不良与垃圾信息举报受理中心是中国互联网协会受工业和信息化部委托设立的投诉受理机构。它的投诉指南说，可以投诉的内容包括垃圾短信、骚扰电话、诈骗电话、垃圾邮件、不良网站、不良 APP 和个人信息泄露等，渠道有 12321.cn 网站和“12321受理中心”微信公众号；电话 010-12321 主要受理咨询。如果是某家机构泄露了你的信息，《个人信息保护法》第五十七条规定，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

新加坡。 个人数据保护委员会（PDPC）说，泄露可能对个人造成重大伤害的，机构要通知受影响的人。CSA 的网站上写着，不确定一件事是不是诈骗时，可以拨打 24 小时 ScamShield 热线 1799。

PHP2Shell 泄露了我的密码吗？

没有官方报告这样说。PHP2Shell 是 PHP 的两个高危漏洞，PHP 官方在 2026 年 10 月 21 日发布了修复版本。国家互联网应急中心（CNCERT）说，未经身份验证的远程攻击者可以构造恶意 HTTP 请求触发内存错误，在特定条件下实现对目标服务器的拒绝服务攻击、敏感数据窃取和远程代码执行。它说的是“在特定条件下”可能发生，不是说数据已经被盗。截至 2026 年 10 月 23 日，CNCERT、CSA 和美国 CISA 的公告都没有列出受影响的公司或用户。如果真有泄露，你通常会怎样得知，见PHP 漏洞会泄露我的个人信息吗。

Failshot 能做什么

Failshot 为有人坐到你的 Mac 前、解锁它的那一刻准备。你的 Mac 密码是第一层，Failshot 是“第二层”设备安全（second layer device security），也就是密码之后的那一层。

Failshot 开启时，它会给解锁你 Mac 的人拍照，使用 Pro 时还会接着录一段 5 秒的视频，它的窗口会告诉解锁的人这次解锁被拍下了。使用 Pro 时打开邮件提醒，有一次解锁你没有确认是自己、Failshot PIN 或答案输错了，或者 Failshot 开启期间它的摄像头权限被关掉，Failshot 都会给你发邮件。解锁提醒里有照片和时间，录了视频时还附上视频。关闭 Failshot，或从它的菜单里退出，需要 Touch ID 或你的 Failshot PIN 和答案，永远不用你的 Mac 密码。

Failshot 可以从 failshot.app 免费下载，适用于 macOS 14 或更高版本的 Mac。免费使用。Pro 加上视频、电子邮件提醒和加密保险库。在 failshot.app 可以免费试用 Failshot Pro 7 天：注册时绑定银行卡，除非你取消，否则在第 8 天扣费。iPhone、Android 和 Windows 版即将推出。应用界面为英文。

更多问题

密码被标出，是不是说明有人进过我的账户？

不一定。标出只表示这个密码出现在已知的泄露中，但还是要改。CSA 建议在可用时开启登录提醒，有人从陌生设备或浏览器登录时，平台会通知你；看到不认识的登录，要立即检查账户有没有异常活动，比如被设置了转发到陌生账户的邮件规则。

Google 会主动告诉我密码泄露了吗？

Google 说，如果在网上发现了你保存的任何密码，会通知你，你可以在 passwords.google.com 右上方的“设置”里开启或关闭“密码防护警示”。收到这类通知时，Google 建议直接前往“密码安全检查”，确认通知真实可信，然后更改所有不安全的密码。

旧账户的提醒可以不管吗？

苹果允许你隐藏无法处理的安全建议：在 iPhone 的“密码”App 中轻点“安全”，轻点那个账户，再轻点“隐藏”。如果提醒的是已经不能用的网站或 App，苹果说可以轻点“全部”，然后向左轻扫这个账户，把它移除。

改用通行密钥会更好吗？

苹果说，如果网站或 App 允许你使用通行密钥，或者升级为“通过 Apple 登录”，更改密码时就可以用上这些功能带来的安全和便利。没有升级选项的，许多账户允许 iPhone 自动创建强密码，你不用记住它。

收到邮件说我的密码泄露了，是真的吗？

不一定。CSA 说，网络犯罪分子会冒充银行或物流服务商等可信机构，发送带有紧急或威胁内容的钓鱼邮件，邮件里的链接可能把你带到有“重设密码”或“账户登录”页面的假网站。不要用邮件里的链接，改用“密码”App、密码安全检查或机构的官方网站核实。详见冒充安全提醒的诈骗邮件。

来源