什么是数据泄露，为什么邮箱这么关键
数据泄露是指企业保存的信息遭到曝光或窃取，原因可能是黑客攻击、服务器配置失误，也可能是内部人员所为。泄露的数据通常包括邮箱地址，有时还会连带姓名、手机号、出生日期和密码。这些密码可能以明文保存，也可能经过哈希处理，而强度不够的哈希密码往往可以被破解。
你的邮箱地址就是把这些数据串起来的那根线。攻击者会用它拿泄露的密码去尝试登录其他服务，写出提到你真实在用的某项服务、足以以假乱真的钓鱼邮件，还会盯上各种密码重置流程。弄清楚哪些泄露事件涉及你的地址，你就知道该改哪些密码、该提防哪类诈骗信息。
出现在泄露名单里，并不代表你的邮箱被黑了，而是说明你用这个地址注册过的某项服务丢失了与之相关的数据。真正的风险有多大，取决于泄露了哪些内容，以及你是否在别处用过同一个密码。
查询邮箱的可靠方法
最知名的免费服务是 Have I Been Pwned，由一位独立安全研究人员创建。它收集公开已知的泄露事件数据，你输入邮箱地址，就能看到哪些事件涉及这个地址、泄露了哪些类型的数据。它不会显示泄露的密码本身，你还可以订阅通知，一旦这个地址出现在今后的泄露事件中，就会收到提醒。
许多密码管理器，包括 Google、Apple 和 Microsoft 产品中内置的那些，也能在已保存的密码出现在已知泄露数据中时向你发出警告。一些邮箱和安全服务商也提供类似的监测功能。这类检查很有价值，因为它们核对的是你实际使用的密码，而不只是邮箱地址。
选择查询工具时要多留个心眼。正规的服务只需要你的邮箱地址，绝不会索要你的邮箱密码。凡是要求付费才显示结果、或者让你安装软件的网站，都要避开；对于主动找上门、声称你的数据已经泄露并催你点击链接的消息，也一律不要理会。千万不要自己去找所谓的“社工库”或泄露数据库：接触这些数据风险很大，往往触犯法律，而且本身就是传播恶意软件的常见手段。
如何解读查询结果
查询结果通常会逐条列出每起泄露事件，包括服务名称、发生时间和涉及的数据类型。重点要看数据类型。如果只泄露了邮箱地址和姓名，主要是增加了你遭遇钓鱼的风险；如果泄露了密码、密保问题或手机号，就需要对你的账户采取行动了。
只要你在别处用过同一个密码，哪怕是很多年前，旧的泄露事件就依然值得重视，因为攻击者会一直拿旧组合去碰运气。如果想不起自己在出事的服务上用的是哪个密码，就假设那是你常用的一个，并在所有用过它的地方统统改掉。
查询结果干净固然是好消息，但并不意味着万事大吉。并不是每一起泄露都会公开，有些事件在发生很久之后才被发现。无论泄露是否被报道出来，独立密码和双重验证都能保护你。
发现邮箱在名单上，第一步该做什么
如果你在出事的服务上仍有账户，先修改那里的密码，再修改所有用过相同或相似密码的其他账户。先从邮箱账户开始，因为谁掌控了邮箱，谁就能重置其他账户。用密码管理器为每个账户生成一个全新的独立密码。
在所有提供双重验证的地方都开启它，先从邮箱、云存储和所有与支付相关的账户做起。有了验证器应用或安全密钥，即使将来的某次泄露暴露了你的新密码，你也依然受到保护。
如果泄露内容包括密保问题，就修改答案，并把答案当作密码来对待：一个存放在密码管理器里的随机答案，远比你真实的小学校名安全。如果涉及支付信息，要留意账单和交易记录，并按照银行的建议处理。
检查邮箱里被悄悄做过的改动
攻击者进入邮箱后，往往会想办法悄无声息地长期潜伏。打开邮箱设置，查看自动转发、过滤器和收信规则。如果出现陌生的转发地址，或者有规则会移动、删除含有“发票”“密码”“安全”等字样的邮件，那就是被入侵的明显迹象。把所有不是你自己创建的设置都删掉。
接下来检查恢复邮箱和手机号、委派访问或共享邮箱权限、自动回复以及邮件签名。翻一翻已发送和已删除文件夹，看看有没有不是你写的、或者不是你删的邮件。在使用应用专用密码的服务上，还要逐一检查这些密码，撤销所有你不认识的。
Gmail、Outlook、Yahoo、GMX 等服务商的菜单名称各不相同，QQ 邮箱、网易邮箱等中文邮箱服务也各有叫法，但这些选项通常都位于邮箱设置里的转发、过滤器或规则部分，以及账户安全页面中。
检查会话、设备和已关联的应用
在账户的安全设置中，打开设备和当前会话列表。退出所有你不认识的会话，或者使用“退出其他所有会话”之类的选项，然后在你自己的设备上重新登录。仅仅修改密码，并不一定能终止已经打开的会话。
检查所有能访问你账户的第三方应用和服务，比如通过“使用 Google 账号登录”或“使用 Microsoft 账户登录”按钮授权过的那些，把不再使用或不认识的统统移除。这类授权在你修改密码之后可能依然有效。
最后，查看最近的安全活动页面，大多数服务商都会在那里列出登录记录、密码修改和新设备。如果看到来自陌生地点或陌生设备的成功登录，就再改一次密码、退出所有会话，并确认你的恢复方式仍然正确。
防患于未然，走在下一次泄露前面
为你使用的每个邮箱地址订阅泄露通知，并打开密码管理器里的泄露警报。提前得到预警，你就有时间在密码被拿去试登其他账户之前把它改掉。
可以考虑按用途使用不同的邮箱地址或别名，比如一个专门用于银行和重要服务，另一个用于订阅资讯和网购。一些服务商支持邮箱别名或“加号地址”，这还能帮你看出究竟是哪项服务泄露或转卖了你的地址。
如果你使用的邮箱账户是从别人那里得来的，包括通过 rStock 这类交易平台购买的账户，请在交付内容出现在订单页面后，立即完成上面的邮箱和会话检查，然后再把它与任何重要的东西关联起来。请按照服务商的使用条款使用该账户。独立密码、双重验证和定期检查这几个好习惯，能让任何邮箱，无论新旧，都牢牢掌握在你自己手中。