五月中旬，一名安全研究人员宣布发现了一个包含1.84亿条密码的未加密数据库。这些数据托管在某网站上，涉及谷歌（Google）、微软（Microsoft）、脸书（Facebook）、苹果（Apple）等主流服务，甚至包含银行和政府机构的登录凭证。
虽然这个47GB的巨型数据库在被举报后已下线，但其存在揭示了两个不容忽视的风险。这也解释了为何该事件持续占据科技媒体和主流媒体的头条。
风险一：信息窃取器（Infostealer）的隐秘威胁
这类恶意软件会直接窃取用户设备中的数据——通过浏览器保存的密码、自动填充信息、加密货币钱包凭证甚至税务资料都可能遭殃。更可怕的是，无论你的密码强度多高，一旦被窃取就毫无意义。攻击者通常通过以下方式诱导安装：
伪装成正常功能的浏览器插件或应用（实际后台窃取数据）
仿冒正版软件的下载链接（近期甚至出现感染显卡驱动的案例）
捆绑在盗版软件中的恶意程序
风险二：账户接管危机持续
泄露的账户可能遭遇：被恶意锁定、敏感信息泄露（如商业机密或税务文件）、资金被盗等。即使数据库已关闭，黑客仍可能利用已获取的凭证发起攻击。
五步防护指南
- 软件选择原则
优先选用安全专家推荐或知名科技媒体评测的正版软件
预算有限时可考虑经过验证的开源替代方案
下载前仔细核对网址真实性
- 基础安全措施
保持杀毒软件实时更新（推荐诺顿360豪华版/Norton 360 Deluxe）
定期全盘扫描（建议设为自动模式）
立即卸载来源不明的应用程序
- 账户安全升级
为重要账户启用双重验证（2FA）
改用通行密钥（Passkey）替代传统密码（推荐密码管理器Dashlane）
至少重置核心邮箱和金融账户的密码
- 深度清理方案
全面扫描后，手动检查浏览器插件和后台程序
通过搜索引擎验证可疑应用的声誉
建立通行密钥备份机制以防账户锁定
- 长期防护策略
在密码管理器中保存高强度随机密码
同时保留“密码+2FA”作为备用验证方式
对支持账户逐步过渡到完全无密码（Passkey-only）登录
当前安全困局
值得注意的是，由于网站认证机制缺陷，即使启用2FA或通行密钥，信息窃取器仍可能通过复制浏览器cookie接管账户。这种攻击方式尚未有完美解决方案，因此保持软件安装警惕性至关重要。
