前几天帮朋友处理一个邮箱被盗的事，折腾了大半天，最后发现问题出在他那个用了快十年的密码上——88888888。对，就是八个8。我当时看着屏幕愣了好几秒，脑子里蹦出来的第一个念头是：这年头居然还真有人拿这种密码当宝贝。第二个念头是：好像也不能全怪他。

一、那些年我们用过的"神级"密码

说实话，谁还没用过几个蠢密码呢。我上大学那会儿，宿舍里四个人，有三个人的银行卡密码是生日，还有一个更绝，是六个1。当时大家觉得这玩意儿好记啊，输起来又快，手指头在键盘上随便一划拉就完事了。至于安全不安全，根本没往那方面想过。那时候对"被盗"这件事的认知，还停留在QQ号被同学恶搞登录一下的水平。

但时代变了。现在你的手机号、邮箱、社交账号、支付账户，甚至小区门禁和公司VPN，全都拴在那一串数字或者字符组合上。密码不再是一个"方便自己"的工具，它更像是一把钥匙，而这把钥匙能打开的门，比你想象的多得多。

88888888这种密码之所以常年霸占"最烂密码排行榜"前列，原因特别朴素：好记。八个8，或者六个6、123456、qwerty、abc123，这些东西的共同特点就是——它们几乎不需要记忆成本。你让一个五十多岁的中年人设置一个"Xk9#mP2$"这样的密码，他大概率会写在便利贴上贴在显示器边框上，那安全性还不如88888888呢，至少后者不会被人从背后一眼看穿。

所以问题从来不只是"密码太简单"，而是简单密码背后那套人类行为逻辑：我们总是倾向于选择认知负担最小的方案，哪怕这个方案的代价是安全。

二、撞库这件事，比你想的普遍

很多人有个误区，觉得自己的密码"没那么重要"，反正又不是什么大人物，谁会闲着没事来盗我的号。这个想法放在十年前可能还勉强创建，但在今天，攻击早就产业化了。

所谓撞库，说白了就是拿一批已经泄露的账号密码，去批量尝试登录其他平台。你在某个小论坛注册过账号，密码是88888888，后来这个论坛的数据库被拖了，你的账号密码就进了黑客的字典。然后他们拿着这组信息去试你的邮箱、试你的淘宝、试你的网银。很多人所有平台都用同一个密码，这一试一个准。

根据一些安全组织的统计， credential stuffing（撞库攻击）在近年来的网络攻击事件中占比相当高，而且成功率并不低。原因很简单：人类懒惰且健忘，大多数人不会为每个平台设置不同的密码。一个密码走天下，方便是方便了，但一旦有一个环节被突破，全线崩盘。

三、密码管理器的尴尬处境

说到解决方案，安全圈的人几乎都会推荐密码管理器。1Password、Bitwarden、KeePass这些工具确实好用，你只需要记住一个主密码，剩下的交给软件生成和保管。理论上这是现在个人密码安全的最优解。

但现实是，我身边真正在用密码管理器的人，一只手数得过来。大部分人听到"密码管理器"五个字的第一反应是："那万一这个软件本身被黑了呢？"这个担忧不能说没道理，但多少有点因噎废食。就好比担心飞机失事所以选择骑自行车横穿中国，概率上完全不成比例。

密码管理器当然不是绝对安全的，但它的风险模型比"所有平台同一个88888888"要健康得多。而且现在很多管理器都支持本地加密、零知识架构，服务商自己也看不到你的密码库内容。问题在于，推广密码管理器的门槛不在技术，而在认知。你得先让一个人意识到自己的密码确实有问题，他才有可能去改变。而大多数人只有在真正被黑了一次之后，才会开始重视这件事。

四、双因素认证：多一道门，多一层安心

如果说密码管理器是"把钥匙藏好"，那双因素认证就是在门上多加一把锁。短信验证码、身份验证器App、硬件密钥，这些东西的存在意义就是：即使你的密码泄露了，攻击者也还需要第二个条件才能登录。

短信验证码是现在最普及的双因素方式，但它其实并不是最安全的。SIM卡劫持、短信拦截这些攻击手段已经相当成熟，尤其是针对一些高价值目标。相比之下，Google Authenticator、Microsoft Authenticator这类基于TOTP的身份验证器要可靠得多。再往上还有YubiKey这种硬件密钥，安全性最高，但携带和使用的便利性就差一些。

我个人的建议是：重要账户（邮箱、银行、主力社交账号）至少开启一种双因素认证，能不用短信就不用短信。别嫌麻烦，真出事的时候你就知道这点麻烦根本不算什么。

五、那些看起来聪明其实很蠢的密码策略

有些公司或者平台会强制要求用户设置"强密码"：必须包含大小写字母、数字、特殊符号，长度不少于12位，每90天更换一次。这套规则看起来很专业，实际上早就被安全专家诟病了。

为什么？因为它逼着用户做出两种选择：要么把密码写在某个地方（便利贴、记事本、微信收藏），要么按照可预测的模式去构造密码。比如"Company@2024!"这种，看起来复杂，实际上攻击者早就把这类模式编进了字典里。而每90天强制更换，只会让用户在密码后面加个1、2、3，或者把月份换一下，安全增益微乎其微。

美国国家标准与技术研究院（NIST）早在几年前就修改了密码指南，不再建议强制定期更换密码，也不推荐强制混合字符类型。新的建议更倾向于：鼓励使用长密码短语（passphrase），比如"我的猫喜欢吃三文鱼刺身"这种，长度够长、容易记、而且不容易被暴力破解。同时建议在登录环节增加速率限制和异常检测，而不是把全部压力都压在密码复杂度上。

六、数字安全这件事，说到底是个习惯问题

我那个用88888888的朋友，后来在我的劝说下换了密码，也开了双因素认证。但他跟我说了一句话，让我印象挺深："我知道这样更安全，但我就是觉得麻烦。"

这大概是所有安全建议面临的最大障碍——不是人们不知道怎么做，而是知道了也不想做。安全措施的本质是在"便利"和"风险"之间做权衡。你每多一道验证步骤，就多一分安全，但也多一分麻烦。大多数人日常的选择是偏向便利的，直到风险真正降临到自己头上。

所以我现在跟人聊数字安全，不太喜欢一上来就讲技术方案。我更愿意先问一句：你有没有哪个账号是丢了之后会让你特别难受的？大多数人想了想，都会说有。那就从那个账号开始，把密码改成一个独立的、足够长的、不在其他地方用过的字符串，然后开启双因素认证。不用一次性把所有账号都整理一遍，先把最重要的那几个处理好，就已经比绝大多数人强了。

数字安全不是什么高深莫测的东西，它更像是一种生活习惯。就像你出门会检查有没有带钥匙、过马路会看红绿灯一样，用密码的时候多想一步，很多麻烦就可以避免。88888888本身没什么错，错的是我们把它当成了万能钥匙，然后插在了所有门上。