120亿条泄露密码：为什么你的生日早已在数据库里

HIBP（Have I Been Pwned）现已收录超过 120 亿条泄露账户记录。在这 120 亿行数据中，几乎可以肯定有一条与你的邮箱地址关联——并且附带一个以生日为基础的密码。以下是随之而来的连锁事件。

泄露密码的生命周期

1. 你的数据出现在某次泄露中（往往在公开数年后才浮出水面）。
2. 它进入自动化组合列表攻击工具。
3. 攻击者同时对 50+ 个服务发起凭证填充攻击。
4. 你的邮箱 + 生日123 解锁了流媒体账户，然后是银行账户。

为什么生日密码会被扫描器优先攻击

现代密码破解工具使用基于规则的变体生成，能从任何个人数据点自动生成数千种变体：日期格式（YYYYMMDD、DDMMYYYY）、名字大小写、追加的符号以及 Leet-speak 替换。不存在"足够聪明"的个人数据变体。

结构性修复

彻底将人类认知从密码创建中移除，使用从硬件级随机性中提取熵的生成器：

系统性防御：三大支柱

• 唯一密码： 一次泄露永不连锁。
• 管理器 + 生成器： 人类记忆不是安全手段。
• 全面启用 MFA： 即使密码泄露，MFA 也能阻断错误连锁。