一个很多人没做但很简单的事：去搜索一下自己的真实姓名、手机号、家庭住址，看看哪些信息已经公开在网上。知道自己的暴露面，才知道要重点保护什么。
haveibeenpwned是免费、靠谱、隐私友好的数据泄露查询工具。
安全防护不追求完美，追求的是让攻击者的成本高于你的价值，让他们去找更容易的目标。
一、账号密码：
密码：最高优先级，绝大多数泄露从这里开始
- 🔑 每个账号使用唯一密码，绝不复用 一个平台泄露 → 攻击者用同样的密码自动撞库所有平台（撞库攻击）。重复密码是最常见的账号失陷原因。
- 🔒 使用密码管理器，不要用浏览器自带的记住密码 推荐：Bitwarden（开源免费）、1Password、KeePassXC（本地离线）。密码管理器可生成 20 位以上随机密码，你只需记住一个主密码。
推荐密码格式：随机字母+数字+符号，≥16位
- ⚠️ 查询自己的邮箱是否已在泄露数据库中 访问 haveibeenpwned.com 输入邮箱，立即知道你的账号是否已在历史数据泄露中出现，并查看涉及哪些平台，立即更换那些平台的密码。
- 🔐 安全问题（"你妈妈的名字"）是密码的后门。用密码管理器生成随机答案并存入其中，不要用真实信息回答。
双重验证（2FA）：密码泄露后的最后防线
- 🔢 使用 TOTP 验证器，不要用短信验证码 短信验证码可被 SIM 卡劫持（换卡攻击）截获。推荐：Aegis（Android，开源）、Raivo（iOS）、Google Authenticator。为所有重要账号开启。
- 🔑 条件允许时使用硬件密钥（YubiKey） 物理密钥是目前最强的 2FA 方式，无法被网络钓鱼截获。适合高价值账号：主邮箱、GitHub、云平台管理账号。
- 📦 备份 2FA 恢复码，离线保存 开启 2FA 时平台会给恢复码，打印出来存放在安全地方（不要截图存在手机相册）。丢失手机后可用恢复码找回账号。
邮箱：所有账号的主根，重中之重
- 📧 主邮箱使用最强密码 + 硬件 2FA，绝不对外暴露 主邮箱是"万能钥匙"------任何平台都可以通过"找回密码"发邮件来重置账号。主邮箱被攻破 = 所有账号被攻破。
二、设备系统：
操作系统与软件更新：这几周 Linux 四大漏洞的教训
- 🔄 开启自动更新，不要推迟系统安全补丁 补丁公开后，攻击者立即开始扫描未更新的设备。从漏洞公开到被大规模利用，窗口期有时不足 48 小时。"等过一段时间再更新" = 在已知的高速公路上裸奔。
- 📱 手机系统也必须保持最新，不使用已停止更新的老系统 Android 和 iOS 每月都有安全补丁。停产设备（如 Android 10 以下、iOS 15 以下）不再收到安全修复，是攻击者的首选目标。
- 🗑️ 删除不用的应用，减少攻击面 每个安装的应用都是潜在的漏洞入口。定期审计手机和电脑上的应用，删除长期未使用的。
设备锁定与加密
- 🔐 手机设置强 PIN 码（≥6位），不用纯数字生日 指纹/面容识别方便但可被物理胁迫绕过。出入高风险场合（海关、抗议活动等）前，切换到 PIN 码模式。
- 🛡️ 开启磁盘全盘加密 Windows：BitLocker（专业版/企业版）/ VeraCrypt（免费开源）。Mac：FileVault（系统偏好设置中开启）。
iOS/Android：新设备默认开启。电脑丢失或被盗时，数据不会被直接读取。
- 🎥 物理遮挡摄像头，麦克风权限最小化 贴摄像头贴纸（笔记本）。定期检查手机 App 权限：设置 → 隐私 → 摄像头/麦克风，撤销所有非必要授权。
备份与恢复：灾备是安全的一部分
- 📦 遵循 3-2-1 备份原则 3份副本 → 2种不同介质（本地硬盘 + 云端） → 1份离线/异地。勒索软件攻击后，有备份的人可以直接恢复；没有备份的人只能支付赎金或丢失数据。
三、网络行为：
公共 Wi-Fi：危险区，务必警惕
- ⚠️ 公共 Wi-Fi 下不做任何敏感操作 咖啡厅、机场、酒店 Wi-Fi 可能是攻击者架设的"蜜罐"（Evil Twin Attack）。不要在公共 Wi-Fi 下登录银行、邮箱、公司系统。
- 🔒 公共网络下使用可信 VPN（仅作为临时保护） VPN 加密本地到服务器之间的流量，防止中间人监听。选择有明确无日志政策且经过独立审计的 VPN（如 Mullvad、ProtonVPN）。注意：VPN 不是万能的，服务商可以看到你的流量。
- ⚠️ 免费 VPN 的盈利方式通常就是出售你的流量数据。免费 VPN ≈ 换了一个监控你的人。
浏览器：你的行为数据工厂
- 🚫 安装 uBlock Origin 广告/追踪器屏蔽插件 屏蔽跨站追踪器，阻止广告平台建立你的行为画像。同时还能阻断部分恶意脚本（Malvertising）。Firefox + uBlock Origin 是目前隐私保护最强的组合之一。
- 🍪 定期清除 Cookie，使用隐私模式浏览敏感内容 Cookie 是跨网站追踪的主要手段之一。敏感搜索（医疗、法律、财务）在隐私窗口中进行，关闭后不留痕迹。
- 🔍 日常搜索改用隐私搜索引擎 Google 记录所有搜索历史并关联到你的账号。替代品：DuckDuckGo、Brave Search、SearXNG（可自建）。不会建立你的搜索画像。
DNS：被忽视的追踪入口
- 🔐 改用加密 DNS，防止运营商记录你访问的域名 默认 DNS 是明文的，运营商可以看到你访问了哪些网站（即使用了 HTTPS）。替代方案：Cloudflare 1.1.1.1（加密 DNS）、Mullvad DNS、NextDNS（可过滤追踪域名）。
系统设置 → 网络 → DNS → 改为 1.1.1.1 或 9.9.9.9
四、社交隐私
钓鱼攻击识别：目前最主要的攻击手段
- 📩 收到任何"点击链接/扫码/提供验证码"的消息，先停下来验证 钓鱼邮件/短信通常伪装成：银行、快递、税务、微信客服、平台封号警告。核心识别方法：
① 链接域名是否正确（看仔细，如
alipay.comvsalipaypay.com）② 是否制造紧迫感（"立即操作否则封号"）
③ 是否索要验证码（任何人都不应该要你的验证码）
- 📷 不随意扫来历不明的二维码 二维码可指向恶意网站、触发自动下载、或直接发起支付请求。公共场所（餐厅、停车场）的二维码可能被替换过。
- 🎙️ AI 语音克隆已经出现，不要只凭声音相信"熟人" 2026 年 AI 可用不到 3 秒的音频样本克隆任何人的声音。接到"家人出事急需转账"的电话，挂断后用另一个方式主动联系核实，不要在同一通话中转账。
社交媒体：你暴露的比你想象的多
- 🔒 定期审查社交账号的隐私设置 微信：朋友圈设置为"仅三天可见"或"仅好友"；关闭"附近的人"；关闭"通过手机号/QQ 号找到我"。微博/抖音：关闭精确位置，设置账号为半公开或私密。
- 📸 不在照片/视频中暴露精确位置 照片的 EXIF 元数据包含 GPS 坐标。发送图片前用工具去除 EXIF（iOS 默认去除，Android 需手动）。不要晒实时位置、家门口、车牌号、门牌号。
- 👤 不同平台使用不同昵称，防止跨平台画像关联 使用同一个昵称注册所有平台，攻击者可以搜索该名称关联出你的真实信息、工作单位、日常行踪。
通讯加密：聊天内容不落入第三方
- ✉️ 敏感通讯使用端对端加密应用 Signal（最高安全级别，开源，默认端对端加密）是目前公认最安全的即时通讯工具，被安全研究员、记者、律师广泛使用。注意：Telegram 默认聊天不加密，只有"秘密聊天"才是端对端加密。
五、AI时代特有
AI 生成的攻击：更逼真、更精准、更难识别
- 📧 AI 可以生成完美无错别字的钓鱼邮件 过去钓鱼邮件可以靠"语法错误"识别。现在 AI 可以生成流畅自然、个性化的诈骗内容，甚至能模仿你上司的写作风格。判断标准变了：不再是"写得好不好"，而是"索要的行动合不合理"。
- 🎭 Deepfake 视频/语音：建立家庭暗语 和家人约定一个只有你们知道的"安全词"，用于电话/视频中验证身份真实性。任何紧急情况下要求转账时，必须先验证安全词。
- 🔒 不要向 AI 工具输入真实的敏感个人信息 向 ChatGPT、Claude 等 AI 输入的内容可能用于训练或被存储。不要输入：真实姓名+证件号组合、完整银行卡信息、私密医疗记录、商业机密。需要处理时，用占位符替换敏感字段后再输入。
- 🔍 定期"谷歌自己"，了解自己的网络暴露面 搜索你的真实姓名、手机号、邮箱、家庭住址，看看哪些信息已经公开。发现不应公开的信息时，向平台申请删除（欧盟用户有 GDPR"被遗忘权"；国内可向平台投诉）。
- 💡 数据经纪人（Data Broker）收集并出售个人信息。可以使用 DeleteMe（付费）或手动向各平台发送删除请求来减少自己的公开信息足迹。
数据最小化原则：少给，少暴露
- 📝 注册时只填必填项，用假信息填写非必要字段 一个购物 App 不需要知道你的真实生日。用假生日、假地址填写非关键字段，减少数据泄露时的损失。
六、自检清单：
安全防护分
当前得分：0 / 134
需要立即改善
基础层（每项 10 分，共 60 分）
- [ ] 所有重要账号密码已唯一化，没有重复密码
- [ ] 正在使用密码管理器
- [ ] 主邮箱已开启 2FA（TOTP 验证器，非短信）
- [ ] 手机、电脑系统已是最新版本
- [ ] 电脑已开启全盘加密（BitLocker / FileVault）
- [ ] 已在 `haveibeenpwned.com` 查询邮箱，并处理了泄露账号进阶层（每项 8 分，共 40 分）
- [ ] 浏览器安装了 uBlock Origin
- [ ] 社交账号隐私设置已审查并收紧
- [ ] 已告知家人 AI 语音/视频诈骗的识别方法
- [ ] 有 3-2-1 备份方案
- [ ] DNS 已改为加密 DNS高阶层（每项 6 分，共 24 分）
- [ ] 使用 Signal 或同等端对端加密通讯工具
- [ ] 和家人约定了"安全验证词"
- [ ] 已"谷歌自己"并清理了不必要的公开信息
- [ ] 不向 AI 工具输入真实敏感信息