保护邮箱账户的重要性
本文约需 8 分钟阅读
发布日期: 最后更新:
在所有在线账户中，电子邮件账户是最应优先保护的。由于电子邮件地址几乎被所有在线服务用于账户注册和密码重置，一旦电子邮件账户被入侵，其他服务也会面临连锁风险。Verizon 2024 年数据泄露调查报告 (DBIR) 显示，侵害的初始入侵途径中占比最高的是被窃凭据的滥用 (约 38%)，网络钓鱼邮件占 15%，漏洞利用占 14%。不过该报告也说明，其中许多被窃凭据很可能原本就是通过网络钓鱼取得的，只是途径往往无法证实，因此单独统计 - 也就是说，以邮件为起点的攻击，实际比重要大于网络钓鱼这一项数字。电子邮件账户被夺走后损害之所以扩散，并不是因为攻击者知道了其他服务的密码，而是因为他掌握了密码重置通知的收件处。他可以从收件箱中梳理出已注册的服务，逐个申请重置，全程无需破解本人的密码 - 因此从被察觉到被制止之间的这段时间，直接决定了受害范围。另外，靠文字是否自然来辨别伪造邮件同样不可靠: 文句粗糙只反映写作者的水平，与攻击能否成功是两回事。核对发件域名、在打开链接前检查 URL，以及不轻信自己没有申请过的重置通知，这些判断步骤要可靠得多。本文将解释电子邮件账户为何特别重要，并介绍如何使用 passtsuku.com 设置最强密码。
电子邮件为何是密码重置的关键
大多数在线服务采用"向电子邮件地址发送重置链接"的方式作为忘记密码时的恢复手段。也就是说，能够访问电子邮件账户的人可以重置该邮箱注册的所有服务的密码。
如果攻击者掌控了电子邮件账户，就可以按以下步骤逐一接管其他服务。首先，搜索收件箱以确定已注册的服务。然后，利用各服务的"忘记密码"功能发送重置链接。在邮件中接收该链接，将密码更改为攻击者控制的密码。最后，删除重置通知邮件以消除痕迹。
这一系列操作可以在短时间内完成，因此在受害者察觉异常之前，多个账户可能已被劫持。容易被忽视的一点是，攻击者可能会悄悄添加邮件转发设置。即使更改了密码感到安心，如果转发设置仍然存在，所有收到的邮件仍会继续发送给攻击者，因此在遭受入侵后检查邮件转发规则至关重要。
电子邮件账户被入侵的连锁损害
对金融服务的波及
当电子邮件账户被入侵时，网上银行和信用卡在线服务也可能受到影响。如果通过密码重置劫持了金融服务账户，可能导致非法转账和盗刷等直接经济损失。
对社交媒体和云存储的影响
当社交媒体账户被劫持时，可能会发生冒充身份发送诈骗消息和个人信息泄露的情况。存储在云存储 (Google Drive、Dropbox 等) 中的机密文件和照片也有泄露风险。如果是用于工作的账户，企业机密信息也可能外泄。
个人信息的滥用
电子邮件收件箱中积累了大量个人信息，包括地址、电话号码、信用卡信息以及各种服务的合同内容。攻击者可能利用这些信息通过社会工程学进行进一步的诈骗、身份冒充和勒索。凭证填充攻击也可以利用泄露的邮箱凭证入侵其他账户。如果怀疑邮箱已被入侵，请立即按照数据泄露应对指南操作。
使用 passtsuku.com 设置最强的电子邮件密码
电子邮件账户的密码应该设置为所有在线账户中最强的。使用 passtsuku.com 生成满足以下标准的密码。
推荐设置
- 字符数: 20 个字符以上 (由于电子邮件账户最为重要，应设置得比通常更长)
- 英文大写字母: 开启
- 英文小写字母: 开启
- 数字: 开启
- 符号: 开启
- 强度计: 以 100 位以上的熵为目标
使用 passtsuku.com 生成 20 个字符、4 种字符类型的密码，可获得约 131 位的熵。不过，并不存在达到多少位就绝对无法破解的固定界线。熵决定了穷举所需的尝试次数，而实际被破解所需的时间，还取决于攻击者能动用的计算资源、服务方采用的哈希函数及其迭代次数，以及实现中是否存在缺陷。若以迭代次数很少的旧方式保管，同样的 131 位，安全余量也会收窄; 若采用迭代充分的现代方式，余量则相当宽裕。把熵取得高一些，可以理解为是为这些用户无法核实的条件转向不利时预留的余地。
使用电子邮件账户专用密码
电子邮件账户的密码不得与任何其他服务共用。将 passtsuku.com 生成的密码设置为电子邮件账户专用，并保存在密码管理器中。铁律是将电子邮件密码与所有其他密码完全独立。要全面管理所有密码，请参阅密码管理指南。
与两步验证的结合使用
除了强密码之外，请务必为电子邮件账户设置两步验证。Gmail 可以使用 Google 的两步验证，Outlook 可以使用 Microsoft Authenticator。将 passtsuku.com 生成的强密码与两步验证相结合，可以大幅增强电子邮件账户的防御能力。
两步验证的方式也有优劣之分。SMS 验证容易受到 SIM 卡交换攻击，因此如果可能，请选择 TOTP (基于时间的一次性密码) 方式的认证应用或 FIDO2 兼容的硬件安全密钥。特别是 FIDO2 密钥具有防钓鱼能力，是保护电子邮件账户最坚固的手段之一。
维护电子邮件账户的安全
即使设置了密码之后，继续保持以下习惯也能保持电子邮件账户的高安全性。
- 不要忽视可疑的登录通知 (来自陌生设备或位置的访问)
- 不要轻易点击邮件中的链接 (请参阅网络钓鱼防护)
- 定期检查登录活动
- 保持恢复用电话号码和备用电子邮件地址为最新状态
- 定期检查邮件转发设置和过滤规则是否有可疑的添加
- 使用 passtsuku.com 大约每半年更新一次密码
一个常见的误解是认为"使用大型邮件服务就安全了"。虽然 Gmail 和 Outlook 具有高级安全功能，但如果用户的密码薄弱，服务端的防御就会被绕过。电子邮件账户的安全性只有在服务质量和用户自身的防护措施两者兼备时才能得到保障。
电子邮件安全自查清单
请确认以下项目，检查电子邮件账户的防御态势。
- 电子邮件账户的密码是否为 20 个字符以上的随机字符串？
- 是否没有与其他服务共用密码？
- 是否启用了两步验证？ (推荐使用认证应用或 FIDO2 密钥，而非 SMS)
- 恢复用电话号码和备用电子邮件地址是否为最新？
- 邮件转发规则中是否没有可疑设置？
- 是否定期盘点已关联的第三方应用？
- 是否每月至少检查一次登录活动？
现在就能做的事
- 使用 passtsuku.com 生成 20 个字符以上的随机密码，并设置到主要电子邮件账户
- 启用电子邮件账户的两步验证 (推荐认证应用或 FIDO2 密钥，避免 SMS)
- 检查邮件转发设置和过滤规则，确认是否有不认识的设置
- 确认恢复用电话号码和备用电子邮件地址是否为最新信息
- 盘点与电子邮件账户关联的第三方应用，解除不需要的关联
常见问题
- 邮箱账户被盗会造成什么损害？
- 由于邮箱账户用于其他服务的密码重置，一旦被盗，社交媒体、网上银行、电商等关联的所有服务都可能被连锁入侵。还可能发生利用您账户发送的冒充诈骗。
- 邮箱账户最有效的安全措施是什么？
- 启用 FIDO2 安全密钥或认证应用的双因素认证是最有效的措施之一。邮箱密码应比任何其他服务的密码更长更复杂，且绝对不要重复使用。
- 邮箱账户被未授权访问有哪些迹象？
- 典型迹象包括：已发送文件夹中有不认识的邮件、收到意外的密码重置通知、登录历史中出现陌生的 IP 地址或地区、联系人报告收到来自您地址的可疑邮件。
这篇文章对您有帮助吗？