Instagram、Spotify 和密码库在一周内接连遭攻击
最近一周内，网络攻击连续打击了互联网上使用最广泛的三个领域：Instagram 账户被接管，Spotify 用户遭遇凭证填充攻击，而密码库也成为攻击者的目标，他们试图批量破解存储的凭证。如果你使用其中任何一个平台——事实上大多数人都用——那么现在正是审视你实际如何保护自己的时刻。这里的教训不仅仅是“使用 VPN”。真正的教训是，只有将 VPN、密码管理器和强身份验证结合起来的纵深防御策略，才能在这三类攻击类型面前站得住脚。
哪些平台遭袭以及哪些数据泄露
这波事件以不同方式触及了这些平台。Instagram 账户接管利用了账户恢复流程的弱点，使得攻击者能将合法用户锁定在自己的个人资料之外。Spotify 遭遇的似乎是凭证填充攻击，即攻击者利用先前泄露的用户名和密码组合，对新目标进行大规模尝试，赌的就是许多人在多个服务上重复使用相同的凭证。与此同时，密码库服务则成为直接攻击目标，攻击者试图窃取加密的库文件，以便之后离线破解。
使这一周不同寻常的，并非某个单一攻击手法特别新颖，而在于这三个攻击面几乎同时被击中，影响了大量普通用户，而不仅仅是企业目标或高价值个人。
要进一步了解 Instagram 漏洞如何通过恢复工具缺陷让攻击者劫持账户，请查看这份详细分析：Instagram Meta AI 账户漏洞可让攻击者重置密码。
为什么密码库是高价值目标
矛盾的是，密码管理器既是解决凭证泛滥的正确方案，又是攻击者眼中的诱人目标。当某人闯入一个密码库时，他们得到的不是一个密码，而是可能获取该用户曾经保存过的所有密码，以及安全笔记、信用卡号和双重验证恢复代码。
窃取加密库文件的攻击者不一定需要立即破解它们。他们可以存储这些文件，并随着时间的推移尝试离线暴力攻击，尤其是在库文件受到弱密码或重复使用的主密码保护的情况下。这就是为什么主密码的强度和唯一性不是一个次要细节。它是决定被盗库文件是否会变成可用之物的最关键变量。
当库受到强随机生成的主密码保护，且账户本身启用了多因素身份验证时，风险状况会发生显著变化。采用零知识架构的库提供商（连服务本身都无法读取你的数据）则增添了另一层有意义的保护。
VPN 的作用与局限
VPN 确实是一个有用的工具。它能在不信任的网络上加密你的流量，掩盖你的 IP 地址，并阻止你的互联网服务提供商记录你的浏览活动。对于经常连接公共 Wi-Fi 的人而言，它显著降低了流量被拦截的风险。
但 VPN 对阻止凭证填充毫无作用。如果攻击者已经从之前的泄露事件中获得了你的用户名和密码，并在 Spotify 上尝试使用，无论多少 VPN 防护都无法阻止那次登录尝试。VPN 也无法保护已经从提供商服务器中外泄的密码库。它更无法阻止利用平台自身恢复流程缺陷进行的账户接管。
纵深防御意味着将 VPN 作为更广泛安全态势的一部分，而非全部。其他部分包括为每个账户设置唯一密码，使用信誉良好的密码管理器以便付诸实践，以及尽可能启用多因素身份验证。
具体步骤：结合 VPN、强身份验证和密码卫生
在经历了这样一周之后，一个实用且具韧性的设置应该是这样的：
首先审查你重复使用的密码。 大多数密码管理器都有内置的健康或审查功能，能识别你在多个站点重复使用的密码。从这里开始。任何与其他账户共享密码的账户，都是凭证填充攻击中等待被利用的隐患。
立即在最敏感的账户上启用多因素身份验证（MFA）。 社交媒体、电子邮件、密码管理器自身的登录以及任何金融账户都应启用多因素身份验证。身份验证器应用比短信验证码更安全，后者可能通过 SIM 卡交换攻击被截获。
检查你密码管理器的安全架构。 寻找零知识加密，并了解你的库是否受到一个你自己从未在其他地方使用过的强唯一主密码的保护。
在不信任的网络上使用 VPN，但不要止步于此。 VPN 弥补了特定的漏洞，但它无法替代上述保护措施。
查看泄露通知服务。 监控你的电子邮件地址或凭证是否出现在已知数据泄露库中的服务，能在你需要更改特定密码时提供预警。
过去一周的事件是一个有益的提醒：数字身份保护需要的不仅仅是一个工具。攻击者同时从多个战线发起攻击，你的防御也需要跟上。本周花一个小时审查你的账户安全设置，从你最常用的平台开始，逐步向外延伸。与账户恢复、解决身份盗用或失去多年保存数据的访问权限所付出的实际代价相比，这点时间投入微不足道。
