你的密码安全吗？三步设定从此不怕被盗
朋友IG被盗、LINE帐号被盗、连网银都被盗——密码用同一组的下场就是这样。三步骤设定密码管理器、启用双重验证、检查个资外泄，从此不再怕。
朋友IG被盗、LINE帐号被盗、连网路银行都被盗——你有没有发现，这几年身边被盗帐号的人越来越多？
说到底，大部分人的密码习惯只有四个字可以形容：一码走天下。
为什么你的密码这么容易被破？
数发部资安署2026年初公布了一组吓人数据：全台超过37%的资安威胁是入侵攻击，其中最大宗的就是「撞库攻击」（Credential Stuffing）。什么意思？骇客从暗网买到一批外泄的帐号密码，然后用自动化程式到各大网站一个一个试——你在虾皮用的那组密码，如果跟网银一样，那骇客试一次就全中了。
Google的调查更直接：65%的台湾人会在不同平台重复使用同一组密码。
而且台湾人最常用的密码是哪些？「123456」、「admin」、「password」、键盘排列的「1qaz2wsx」（俗称1小2小），还有更妙的——注音密码「ji394su3」（我的密码）。你以为很聪明，其实这些密码早就被收进骇客的字典档里了，秒破。
2026年3月更爆出一波大规模LINE盗号事件，骇客利用语音信箱的预设密码漏洞，直接截走你的LINE验证码。很多人连钓鱼连结都没点，睡一觉醒来LINE就被盗了。
三步设定，从此不怕
不用恐慌，也不用把自己搞得很累。只要做完下面三步，你的帐号安全等级立刻从「随时被盗」变成「骇客绕路走」。
第一步：装一个密码管理器
这是CP值最高的一步。密码管理器的逻辑很简单：你只要记一组超强的主密码，其他所有网站的密码都交给它帮你产生、帮你记、帮你自动填入。
不用再烦恼「这网站我到底用哪组密码」，也不用再拿同一组密码到处用。
几个选择让你参考：
| 方案 | 价格 | 适合谁 |
|---|---|---|
| Bitwarden | 免费 / 进阶版年费NT\$300 | 追求CP值的人，开源可自架，免费版就几乎全功能 |
| Apple 密码 | 免费 | 只用iPhone/Mac的人，iOS内建密码App已很够用 |
| Google 密码管理工具 | 免费 | 只用Chrome+Android的人 |
| 1Password | NT\$1,500/年 | 全家一起用、常出国或有Travel Mode需求的人 |
个人最推Bitwarden。免费、开源（程式码公开可被检验，没有后门疑虑）、跨所有平台、密码金钥（passkey）都支援。一年三百块的进阶版还能帮你在网站内直接填两步骤验证码，方便到哭。
第二步：打开双重验证（2FA）
密码被盗不可怕，可怕的是骇客拿到密码就能直接登入。开了双重验证之后，就算密码外泄，没有你手机上的那组6位数验证码，骇客一样进不来。
怎么设？ 去Google帐号→安全性→两步骤验证；LINE→设定→我的帐号→两阶段验证；IG→设定→帐号安全→双重验证。其他服务逻辑都一样，去「帐号设定→安全性」就找得到。
用哪种2FA？ 推荐下载 Google Authenticator 或 Authy（可云端备份，换手机不搞丢），不要用简讯。简讯验证码可以被拦截，语音信箱漏洞事件就是血淋淋的例子。
设定时记得保存「备用码」，存在密码管理器里，手机坏了至少还救得回来。
第三步：检查你的Email有没有外泄过
去 Have I Been Pwned（HIBP）输入你的Email，它会告诉你这个Email出现在哪几次资料外泄事件中、外泄了哪些资料。
这是澳洲资安专家Troy Hunt维护的免费服务，全球最权威。输入Email后如果跳出红色「Oh no — pwned!」，代表你的密码可能已经在外流传了——立刻去把所有用那组密码的网站密码换掉。
密码怎么设才强？长度比复杂度更重要
很多人都被「大小写+数字+符号」的规则搞得很痛苦，弄出一个 P@ssw0rd2026! 自己觉得很安全——但这在骇客的破解工具面前撑不到一秒。
真正的关键是长度。资安署建议至少15个字元。更好的做法是用4到7个无关联的单字组合成一句密码短语，比如 正确-马-电池-钉书机，好记又超难破。
网站密码强度检测器可以帮你测，完全在浏览器内执行，密码不会传到任何地方。
密码金钥（Passkey）：密码的未来，现在就可以用
你有没有发现，解锁iPhone用Face ID、解锁Android用指纹——根本不用打密码？这就是「无密码登入」的概念。
密码金钥（Passkey）把这个概念带到网站登入：你注册一个网站时，手机或电脑会产生一组只有你的装置能解开的密钥；下次登入时，直接用脸部辨识或指纹，不用打任何密码。
2026年已经是密码金钥的爆发年：87%的企业正在部署、Google超过10亿用户用过、微软新帐号已经预设用密码金钥。而且Apple、Google、Microsoft三家已经互通——你在iPhone上存的密码金钥，可以在Windows电脑上透过扫QR码使用。
目前Google、Apple ID、Microsoft帐号、GitHub、虾皮都已经支援。看到网站有「使用密码金钥登入」的选项，就开下去吧。
快速检查清单
- [ ] 装了密码管理器（Bitwarden或内建的都好）
- [ ] 重要帐号（Google、LINE、网银、IG）全开了双重验证
- [ ] 去HIBP查过Email有没有外泄
- [ ] 所有重要网站的密码都不一样
- [ ] 主密码至少15个字元，或是一组密码短语
- [ ] 不要再把验证码传给任何人——LINE客服不会跟你要验证码
做完以上六件事，你已经比95%的台湾人安全了。真的，就这么简单。
资料来源：数位发展部资通安全指引、NIST SP 800-63B 密码指南、Have I Been Pwned。密码检测器纯在浏览器端执行，密码不会传送至任何伺服器。