你的账号安全在哪个等级？5分钟自查

很多人对账号安全的理解停留在“密码别设123456”。但真正决定一个账号是否容易被攻破的，往往不是单个密码有多复杂，而是几个习惯叠加后的整体暴露面。下面这份自查清单分五个维度，每个维度按0到2分计，总分10分。你可以边看边给自己打分。

第一个维度：密码是否复用。回忆一下，你的邮箱、微信、淘宝、银行App，有没有共用同一个密码？如果全部不同，得2分；有两三个重要账号共用，得1分；几乎所有账号都用同一套密码，得0分。密码复用的危险在于“撞库”——黑客从某个小网站泄露的数据库里拿到你的邮箱和密码，直接去试你的邮箱和支付账号。2023年某知名咖啡品牌的会员数据泄露后，大量用户因为复用密码导致邮箱被登入，进而被重置其他账号。

第二个维度：是否开启两步验证。两步验证（2FA）是指登录时除了密码，还需要一个动态验证码或硬件密钥。邮箱、微信、支付宝、苹果ID这类核心账号，如果全部开启，得2分；只开了部分，得1分；完全没开，得0分。这里有个细节：优先用验证器App（如Google Authenticator、微软Authenticator）或硬件密钥，而不是短信验证码。短信可能被SIM卡劫持拦截，验证器App离线生成6位数字，安全性更高一档。

第三个维度：登录设备与授权管理。打开微信的“登录设备管理”、Google账号的“安全”页面、苹果ID的“设备”列表，看看有没有你不再使用的旧手机、旧电脑，或者陌生的设备记录。定期清理这些记录，得2分；想起来才看一眼，得1分；从没看过，得0分。一个真实场景：你在二手平台卖掉旧手机前恢复了出厂设置，但对方仍可能通过你未退出的网页授权继续访问你的账号。

第四个维度：密码管理方式。你用什么记住那些复杂密码？如果全靠脑子记，很可能意味着你倾向于设简单密码或重复使用。使用密码管理器（如Bitwarden、1Password、KeePass）生成并保存随机密码，得2分；用浏览器自带的密码保存功能，得1分；用备忘录或纸质本子手写，得0分。密码管理器的主密码只需记一个，其余全部随机化，这是目前平衡安全与便利最实际的做法。

第五个维度：对钓鱼和异常登录的敏感度。你是否知道在哪里查看账号的最近登录记录？是否收到过“账号异常，点击链接验证”的短信或邮件？如果会主动核对发件人域名、不点陌生链接，并且每月查看一次登录记录，得2分；知道但很少查，得1分；完全没注意过，得0分。钓鱼攻击不攻击系统漏洞，它攻击的是人的操作习惯。一个拼写错误的域名、一个催促你“立即验证”的邮件，都是常见入口。

把五项分数加起来。8到10分：你的账号安全等级较高，日常习惯已经覆盖了主要风险点。5到7分：基础防护有了，但存在明显短板，建议优先补上两步验证和密码管理器这两项。0到4分：暴露面较大，不用一次性全部改完，可以从邮箱和支付类账号开始，先改密码、再开两步验证，最后清理登录设备。安全不是一次性任务，而是一组可以逐步养成的操作习惯。

最后提醒一点：不必因为分数低而焦虑。绝大多数人的账号安全都是从某个节点开始逐步改善的。你不需要成为安全专家，只需要让攻击你的成本高于攻击下一个目标。从今天起，挑一个最重要的账号，花五分钟完成密码修改和两步验证开启，这就是最实际的进步。