简而言之
在 Have I Been Pwned 等泄露通知服务中搜索你的邮箱地址,截至 2026 年 11 月 3 日,该服务列出 1,048 个遭泄露的网站 [1]。数据泄露是指数据在存在漏洞的系统中被暴露 [2]。仅凭一条记录并不能证明你的账户被黑。如果泄露涉及你的密码,请修改密码并开启多因素身份验证 [3]。
要点
- 截至 2026 年 11 月 3 日,Have I Been Pwned 列出 1,048 个遭泄露的网站和 17,846,896,404 个遭泄露的地址 [1]。
- Pwned Passwords 只发送密码 SHA-1 哈希的前 5 个字符,“no pwnage found”的结果并不一定说明密码很好 [4]。
- 如果泄露涉及你的密码,请在受影响的公司以及所有使用相似密码的账户上修改密码,并开启多因素身份验证 [3]。
- 自 2018 年 9 月 21 日起,美国联邦法律规定信用冻结可免费设置,取消了此前收费各州的收费;若通过网络或电话提出申请,征信机构须在一个工作日内完成冻结 [5];FTC 表示设置和解除冻结均免费 [9]。
- IBM 的 2026 年报告显示,全球数据泄露的平均成本为 499万美元,但这是组织承担的成本,而非个人的损失 [6]。
- HIBP 有意收录未经验证和伪造的泄露事件 [2],因此应把收录记录视为数据曾暴露,而不是账户被黑的证明。
本页内容 14 个部分
我的数据泄露了吗?如何查询?
按 Have I Been Pwned(HIBP)的说法,数据泄露是指数据在存在漏洞的系统中被无意暴露的事件,通常源于访问控制不足或软件中的安全弱点 [2]。HIBP 汇总各类泄露事件,让人们能看到自己的个人数据曾在何处暴露 [2]。要想最快知道数据是否泄露,就在该网站搜索你的邮箱地址。
截至 2026 年 11 月 3 日,HIBP 首页列出 1,048 个遭泄露的网站和 17,846,896,404 个遭泄露的地址 [1]。公开搜索每次只返回一个邮箱地址或用户名的结果 [2]。搜索整个域名则是另一项功能,需要你验证自己有权访问该域名 [2]。
为什么结果中可能缺少某次泄露?
HIBP 把部分泄露事件视为“敏感”。只有邮箱地址经过验证的所有者才能看到,方法是登录控制面板,并确认自己能接收该地址的邮件 [2]。HIBP 列出了 90 个敏感泄露事件,其中包括 Ashley Madison 和 Adult FriendFinder(2015 年和 2016 年)[2]。因此,普通搜索不会显示所有可能涉及你地址的泄露。
结果干净就说明数据安全吗?
不。HIBP 表示,其搜索涵盖大多数泄露事件,而敏感泄露需要登录才能查看 [2]。按本指南的推断,尚未载入该服务的泄露事件根本不会出现。就密码而言,HIBP 指出“no pwnage found”的结果并不一定意味着这是个好密码,只是说明它没有被收录在该网站上 [4]。请把干净的结果视为一个参考信息,并始终保持基本防护:使用唯一密码和多因素身份验证。
Have I Been Pwned 安全可信吗?
HIBP 的设计限制了它所持有的数据。载入某次泄露中的邮箱地址时,不会同时载入密码;另设的 Pwned Passwords 服务则用于对照已知泄露检查单个密码 [2]。HIBP 声明,没有任何密码与可识别个人身份的数据存放在一起,所有密码都经过 SHA-1 哈希处理 [2]。公开搜索每次仅限一个地址 [2]。
HIBP 自己提出了哪些警告?
HIBP 承认,用户无法确定它没有收集人们搜索的邮箱地址,并声明自己没有这样做,同时告诉担心其意图或安全性的人不要使用 [2]。读者应把这份坦率的警告与该服务自述的免费风险评估用途放在一起权衡 [2]。
本指南没有涉及什么?
本指南没有说明谁为 HIBP 提供资金或运营它,也没有说明它是否经过独立审计。请阅读该网站自己的“关于”页面,再决定自己是否放心。如果不放心,后面各节中的防护措施无需任何查询工具即可使用:唯一密码、多因素身份验证,以及针对美国居民的信用冻结。
“pwned”是什么意思?查询结果代表什么?
“Pwned”源于电子游戏文化,是“owned”的 leetspeak 变体,意指某人被控制或被攻破 [2]。不过在 HIBP 上,出现记录意味着你的数据曾在某处暴露。按本指南的理解,这并不是有人登录过你账户的证据。
泄露事件的标签是什么意思?
- 敏感(Sensitive):不在公开搜索中显示,只有该地址经过验证的所有者才能看到 [2]。
- 未经验证(Unverified):数据是真实的,但其来源没有被证明到排除合理怀疑的程度 [2]。
- 伪造(Fabricated):不太可能来自所列网站,但包含真实的邮箱地址 [2]。
- 已撤销(Retired):被永久移除。HIBP 列出 2 个已撤销的泄露事件,即 Ticketek 和 VTech;通常在数据没有在其他地方被交易或再分发时才会撤销 [2]。
HIBP 仍然收录未经验证和伪造的泄露事件,因为它们包含真实的个人信息 [2]。因此,出现记录并不能证明某家公司确实被攻破。HIBP 指出,即使是伪造的数据,也仍可能被出售或交易 [2]。
如何检查我的密码是否已经泄露?
Pwned Passwords 是 HIBP 另设的服务,用于对照已知泄露检查单个密码 [2]。它采用 k-anonymity(k-匿名)技术:密码在你的设备上进行哈希,只有 SHA-1 哈希的前 5 个字符会发送到 API,与返回的后缀进行比对则在你这一侧完成 [4]。HIBP 称该服务每月处理超过 180亿次请求 [4]。
即使账户不同,泄露的密码为什么也很重要?
攻击者会利用已暴露的邮箱和密码组合,尝试访问受害者的其他账户,这种手法称为撞库(credential stuffing)[4]。正因如此,当泄露涉及你的密码时,FTC 建议在所有使用相似密码的账户上修改密码 [3]。HIBP 还指出,NIST 指南建议将密码与此前泄露的数据集进行比对 [4]。
如何使用查询结果?
数据泄露后,我首先应该做什么?
正确的步骤取决于暴露了什么数据。请按符合你情况的条目逐项处理。
- 修改密码。如果泄露涉及你的密码,请立即在受影响的公司以及所有使用相似密码的账户上修改密码。可以考虑使用密码管理器,并开启多因素身份验证(MFA),即使密码已暴露,它也能保护账户 [3]。
- 如果某个在线账户已暴露。登录后修改密码,条件允许时也修改用户名。如果无法登录,请联系该公司恢复或关闭账户。在其他重复使用该密码的地方也要修改 [7]。
- 如果社会安全号码已暴露(美国)。如果公司提供免费信用监控,请接受;获取免费信用报告,查看是否有你不认识的账户,并考虑设置信用冻结或欺诈警示 [8]。FTC 的数据泄露指南建议到 annualcreditreport.com 获取免费报告,指出如果决定不冻结,至少应考虑欺诈警示,并建议尽早报税 [7]。
- 使用官方工具。FTC 的 IdentityTheft.gov/databreach 会根据暴露的信息类型提供相应步骤 [7]。
- 如果你的数据已被滥用。请在 IdentityTheft.gov 举报 [8],该网站提供个性化的恢复计划 [5]。
请自行输入网址访问这些服务,不要点击关于泄露的意外消息中的链接。
泄露后应该冻结信用还是设置欺诈警示?
本节介绍的是美国的规定。自 2018 年 9 月 21 日起,美国联邦法律允许消费者免费设置信用冻结,取消了此前收费各州的收费 [5];FTC 表示设置和解除冻结均免费 [9]。其他国家的读者应查阅所在国家的信用和身份保护规定,本指南对此不作介绍。
什么是信用冻结?
信用冻结会持续到你解除为止,并且不影响你的信用评分 [9]。冻结期间,任何人(包括你自己)都无法开立新的信用账户;你可以暂时解除冻结,以申请信贷、工作、租房或保险 [9]。FTC 表示,冻结不会影响你申请工作、租房或购买保险 [10],并称它是防止他人以你的名义开立新账户的最佳方式 [10]。你必须向全部三家全国性征信机构(Equifax、Experian 和 TransUnion)提出申请。如果通过网络或电话申请,征信机构必须在一个工作日内完成冻结,并在一小时内解除 [5]。父母还可以免费冻结 16 岁以下儿童的信用 [5]。
什么是欺诈警示?
欺诈警示只需向一家征信机构提出申请,由它通知另外两家 [5]。2018 年的法律把警示期限从 90 天延长到一年 [5]。标准警示有效期为一年,可免费续期;针对身份盗用受害者的延长警示有效期为七年 [10][9]。它不会限制对你信用报告的访问 [10]。
应该选择哪一种?
FTC 的数据泄露指南指出,如果决定不冻结,至少应考虑欺诈警示 [7]。这一建议的指向很明确:冻结提供更多保护,欺诈警示则是较轻的备选方案。如果你所在国家没有类似制度,密码和 MFA 的步骤仍然适用。
如何判断我的邮箱是被黑了,还是只是被泄露了?
泄露和账户被接管是两种不同的事件。泄露是指第三方在存在漏洞的系统中暴露了数据 [2]。账户被接管是指有人以你的身份登录。按本指南的理解,泄露查询工具回答的是第一个问题,而不是第二个,因为查询到记录表明的是数据曾暴露,而不是他人登录过。
泄露是如何变成账户被接管的?
主要是通过密码重复使用。攻击者利用已暴露的邮箱和密码组合,尝试访问受害者的其他账户 [4]。如果你重复使用过该密码,请在所有用过它的地方修改 [7]。FTC 表示,即使密码已暴露,MFA 也能保护账户 [3]。
如果我再也无法登录怎么办?
请联系该公司恢复或关闭账户 [7]。账户被接管的迹象因服务而异,所以本指南不逐一列出;请查看该服务自己的账户活动和安全页面。如果你的数据已被滥用,请在 IdentityTheft.gov 举报 [8],该网站提供个性化的恢复计划 [5]。
数据泄露发生后谁来买单?成本数字意味着什么?
关于泄露成本的新闻标题,描述的是事件给组织造成的成本,而不是给你造成的成本。
IBM 的《2026 年数据泄露成本报告》(Cost of a Data Breach Report)显示,全球数据泄露的平均成本为 499万美元。该报告基于 2025 年 3 月至 2026 年 2 月期间 602 家组织发生的泄露事件,由 Ponemon Institute 开展研究,并由 IBM 赞助和分析 [6]。同一份发布稿称,四分之一的恶意泄露由 AI 实施 [6]。
2025 年版报告发现,全球平均成本下降 9%,从 488万美元降至 444万美元 [12],这是五年来的首次下降 [11][12],而美国的平均泄露成本达到创纪录的 1,022万美元 [11]。
应该如何看待这些数字?
这些是 Ponemon Institute 针对组织开展的研究,而不是针对个人受害者的研究 [6]。每一版都有各自的样本,因此应把从 444万美元到 499万美元的变化视为背景信息,而不是精确的趋势。这些数字都不是你个人应当预期的损失。对个人而言,切实可行的做法就是前面各节中的那些步骤。
泄露查询服务有哪些好处和局限?
好处
- 免费、快速地了解你的地址在哪里暴露过,截至 2026 年 11 月 3 日涵盖 1,048 个已收录的网站 [1]。
- 密码与邮箱地址分开保存:载入邮箱时不会载入密码,也没有任何密码与可识别个人身份的数据存放在一起 [2]。
- 敏感泄露只向该地址经过验证的所有者显示 [2]。
- 密码检查只发送 SHA-1 哈希的前 5 个字符 [4]。
缺点
- HIBP 称其搜索涵盖大多数泄露事件,敏感泄露需要登录验证才能查看 [2]。
- 有些记录是未经验证或伪造的,因此查到记录并不能证明某家公司被黑了 [2]。
- HIBP 表示你无法确定它没有收集被搜索的地址,不过它声明自己没有这样做 [2]。
- 密码“未找到”的结果并不一定意味着该密码很好 [4]。
查询工具有助于决定先修改哪些密码。按本指南的看法,它无法取代唯一密码和 MFA 这样的习惯;FTC 建议开启 MFA,并建议考虑使用密码管理器 [3]。
接下来会怎样?还有哪些不确定之处?
首页上的统计数字是实时变化的:2026 年 11 月 3 日显示的 1,048 个网站、17,846,896,404 个地址,与你之后看到的不会一致 [1]。在成本方面,IBM 的平均数字从 488万美元 [12] 降至 2025 年报告中的 444万美元 [11][12],随后在 2026 年升至 499万美元 [6]。2026 年研究中,四分之一的恶意泄露由 AI 实施 [6]。这些数字并不能说明由 AI 实施的攻击是否会持续推高成本。
本指南无法告诉你的事
- 泄露的凭据有多大概率导致账户被接管。这里没有给出有来源的数字。
- 美国以外的规定。其他国家的泄露通知权利和信用保护措施不在本指南的涵盖范围内。
- 在伊朗的访问情况。没有可靠来源说明在伊朗能否访问或付费使用泄露查询工具、密码管理器或 MFA 应用,因此本指南不作断言。当地读者仍可采用密码和 MFA 的步骤,而征信机构的步骤只适用于美国的信用档案。
由于 HIBP 的总数会不断变化,在得知有新的泄露事件后再次搜索,是成本很低的好习惯。
常见错误
把“未发现泄露”的结果当作什么都没泄露的证明
正确做法: 把“未发现”的结果只当作一个参考信息。HIBP 表示,密码查询显示“no pwnage found”并不一定意味着这是个好密码,只说明它没有被收录在该网站上 [4]。无论结果如何,都要保持基本防护:FTC 建议开启 MFA,并考虑使用密码管理器来管理各不相同的密码 [3]。HIBP 称其搜索涵盖大多数泄露事件,敏感泄露需要登录后才能查看 [2],因此从未被收录进该服务的泄露事件不会出现在结果中(本指南的推断)。
只修改被泄露账户的密码,放着重复使用的密码不管
正确做法: 如果泄露涉及你的密码,请在受影响的服务以及所有使用相似密码的账户上修改密码,并开启多因素身份验证 [3]。攻击者会利用已暴露的邮箱和密码组合去尝试登录其他账户 [4]。
认为查到记录就证明账户被黑,或证明所列公司遭到入侵
正确做法: 请把查询结果理解为“你的数据曾被暴露”,而不是“我的账户被黑了”或“这家公司一定被攻破了”。HIBP 收录未经验证和伪造的泄露事件,是因为其中含有真实的个人信息,并指出即使是伪造的数据也仍可能被出售或交易 [2]。
身份敏感数据已暴露时,只处理密码就停手
正确做法: 如果社会安全号码(Social Security number)已暴露,美国读者可以接受免费的信用监控,获取免费信用报告,并考虑设置信用冻结或欺诈警示 [8]。FTC 的数据泄露指南建议到 annualcreditreport.com 获取免费报告;如果决定不冻结,至少应考虑欺诈警示;同时建议尽早报税 [7]。
混淆欺诈警示与信用冻结
正确做法: 信用冻结需要向三家征信机构分别提出申请,并会限制他人查阅你的报告;欺诈警示只需提出一次申请 [5]。警示不会限制对信用报告的访问,而 FTC 称冻结是防止他人以你的名义开立新账户的最佳方式 [10]。
把数据泄露成本的新闻标题当成泄露会让你个人付出的代价
正确做法: IBM 的平均数字描述的是组织承担的成本,来自 Ponemon Institute 开展的研究,而不是个人遭受的损失 [6]。只把它们当作背景信息。
常见问题
如何查询我的邮箱是否出现在数据泄露中?
在 Have I Been Pwned 上搜索该地址,它每次只返回一个邮箱地址或用户名的结果 [2]。截至 2026 年 11 月 3 日,该服务收录了 1,048 个遭泄露的网站 [1]。敏感泄露只有在你登录控制面板并确认能接收该地址的邮件后才会显示 [2]。结果干净并不等于安全。
Have I Been Pwned 安全吗?
HIBP 表示,没有任何密码与可识别个人身份的数据存放在一起,所有密码都经过 SHA-1 哈希处理 [2]。它也承认,用户无法确定它没有收集被搜索的邮箱地址,并声明自己没有这样做,同时告诉担心其意图或安全性的人不要使用 [2]。请自行判断是否接受这一取舍;本指南中的防护措施无需任何查询工具即可使用。
pwned 是什么意思?
“Pwned”源于电子游戏文化,是“owned”的 leetspeak 变体,意指某人被控制或被攻破 [2]。在 HIBP 上,出现记录表示你的数据在某次泄露中被暴露,通常是由于访问控制不足或软件存在弱点 [2]。按本指南的理解,这并不说明有人登录过你的账户。
如果我的邮箱出现在数据泄露中,该怎么办?
如果泄露涉及你的密码,请在受影响的公司以及所有使用相似密码的账户上修改密码,并开启多因素身份验证 [3]。可以考虑使用密码管理器 [3]。如果某个在线账户已暴露且你无法登录,请联系该公司恢复或关闭账户 [7]。其他步骤应根据暴露的数据类型来选择。
数据泄露是否意味着我的账户被黑了?
不一定。HIBP 将数据泄露定义为数据在存在漏洞的系统中被暴露 [2];按本指南的理解,仅仅暴露并不等于有人登录。攻击者可以利用已暴露的邮箱和密码组合去尝试其他账户,这种手法称为撞库(credential stuffing)[4]。如果你重复使用过该密码,请在所有地方都修改 [7]。如果发现被滥用,请在 IdentityTheft.gov 举报 [8],该网站提供个性化的恢复计划 [5]。
欺诈警示和信用冻结有什么区别?
冻结需要向三家征信机构(Equifax、Experian、TransUnion)分别提出申请 [5],并持续到你解除为止 [9][10]。欺诈警示只需提出一次申请,由该机构通知另外两家;标准警示有效期为一年 [5],可免费续期 [10]。FTC 称冻结是防止他人以你的名义开立新账户的最佳方式,并指出警示不会限制对你报告的访问 [10]。
术语表
- 数据泄露(data breach)
- 数据在存在漏洞的系统中被无意暴露的事件,通常源于访问控制不足或软件弱点。
- Pwned
- 源于电子游戏文化的俚语,是“owned”的 leetspeak 变体,HIBP 用它表示你的数据出现在已知的泄露事件中。
- 撞库(credential stuffing)
- 利用已暴露的邮箱和密码组合,尝试登录受害者的其他账户。
- 多因素身份验证(MFA)
- 一种除密码之外还要求提供其他验证信息的登录方式,即使密码已暴露也能保护账户。
- SHA-1 哈希
- 把密码单向转换为固定长度字符串的处理方式,HIBP 用它来避免以可读形式存储密码。
- k-anonymity(k-匿名)
- 只把密码哈希的前 5 个字符发送给服务端的技术,使完整密码不会离开你的设备。
- 信用冻结(credit freeze)
- 对你的信用报告访问施加的限制,持续到你解除为止,有助于防止他人以你的名义开立新信用账户。
- 欺诈警示(fraud alert)
- 通过一家机构在你的信用档案上设置的提示,标准警示有效期为一年,不会限制对信用报告的访问。
来源
- Have I Been Pwned: Check if your email address has been exposed in a data breach Have I Been Pwned (Troy Hunt); live page, retrieved 2026-11-03
- Have I Been Pwned: Frequently Asked Questions Have I Been Pwned; live page, retrieved 2026-11-02
- Have you been affected by a data breach? Read on US Federal Trade Commission (Consumer Advice)
- Pwned Passwords Have I Been Pwned; live page, retrieved 2026-11-03
- Starting Today, New Federal Law Allows Consumers to Place Free Credit Freezes And Yearlong Fraud Alerts US Federal Trade Commission · 2018-09-21
- IBM Study: One in Four Malicious Breaches are AI-Enabled, Costing Companies $6 Million on Average IBM Newsroom (Cost of a Data Breach Report 2026, Ponemon Institute) · 2026-07-29
- Data Breaches: What to know, What to do US Federal Trade Commission
- What To Do After a Data Breach US Federal Trade Commission (Consumer Advice)
- Credit Freezes and Fraud Alerts US Federal Trade Commission (Consumer Advice)
- Is a credit freeze or fraud alert right for you? US Federal Trade Commission (Consumer Advice)
- Average global data breach cost now $4.44 million Help Net Security (reporting IBM Cost of a Data Breach Report 2025) · 2025-08-04
- 2025 Cost of a Data Breach Report: Navigating the AI rush without sidelining security IBM X-Force
