密碼為何頻頻失竊？揭秘駭客竊密四大手法與防護迷思

許多人以為設定複雜密碼、定期更換就能高枕無憂，但現實卻是：密碼外洩的原因往往不在「強度」，而在於駭客的手法早已超越你的想像。了解敵人如何偷走密碼，才能建立真正有效的防線。

駭客竊取密碼的四大經典手法

1. 社交工程與釣魚攻擊：直接詢問

這是最古老也最有效的手段。駭客偽裝成銀行、同事或系統通知，誘導你主動輸入帳號密碼。無論密碼多複雜，一旦你誤信並輸入，防線瞬間崩塌。

2. 字典暴力破解：碰運氣試常見密碼

駭客使用包含數百萬常見密碼的字典檔，自動化嘗試登入。若你的密碼是「123456」、「password」或生日組合，通常幾分鐘就被破解。這類攻擊講求速戰速決，失敗即轉向下一目標。

3. 竊取雜湊值離線破解：拿到加密資料再慢慢解

若駭客入侵伺服器取得加密後的密碼雜湊值，便可離線用彩虹表、GPU 運算慢慢破解。這就是為何網站資料外洩後，官方總呼籲用戶立即更改密碼的原因。

4. 鍵盤記錄惡意程式：在你輸入時偷看

木馬、鍵盤記錄器潛伏在電腦中，記錄每一個按鍵。只要你輸入密碼，它就乖乖送到駭客手中。這類惡意軟體常捆綁在盜版軟體、不明附件中，防毒軟體若未及時更新極易中招。

「90 天強制換密碼」真的是良方嗎？

許多企業與標準（PCI、ISO 27002、COBIT）要求每 90 天更換密碼，但這項政策存在嚴重盲點：

• 若駭客已透過上述手法拿到密碼，通常 45 天內就能完成盜刷、發送垃圾郵件等獲利行為，90 天換一次根本攔不住。
• 使用者為了應付頻繁更換，往往採用「Password1」、「Password2」等簡單規律，反而降低安全性。
• 真正受益的僅是「偷看郵件不動聲色的潛入者」，但這類威脅比例極低。

真正有效的防護策略

1. 啟用雙因子驗證（2FA）：即使密碼外洩，駭客無第二因子也無法登入。
2. 使用密碼管理器：為每個帳號生成並儲存獨特、高強度隨機密碼，免除記憶負擔。
3. 保持系統與防毒軟體最新：修補漏洞、攔截鍵盤記錄器等惡意程式。
4. 提高警覺，不輕信不明連結與附件：社交工程攻擊的核心是利用人性弱點，警覺性是第一道防線。

資安管理的核心在於「識別威脅、選擇有效對策」。盲目遵循過時的密碼過期政策，不如投入資源推廣 2FA 與密碼管理器，才能真正降低帳號被盜風險。