你有没有试过，在某个网站忘记密码时，下意识输入那串用了好几年的“万能密码”？比如 123456 或者 password，再不就是自己的生日加个 !@#。很多人图省事，微信、邮箱、淘宝、甚至银行账户都用同一个密码，觉得“反正我自己记得住”。可真出了问题，可能就不是记不记得住的事了。
一个密码泄露，等于所有门都敞着
假设你在某家小众电商网站注册时用了邮箱和常用密码，结果这家网站数据库被黑了，用户信息被挂在网上卖。黑客拿到你的用户名和密码后，不会只盯着这一个账号，他们会用“撞库攻击”——把这组凭证批量尝试登录其他平台：支付宝、微博、网银、公司OA系统……如果你在这些地方也用了同样的密码，账户基本等于自动送上门。
现实中这样的案例不少。有人因为一个游戏账号被盗，结果发现绑定的手机号被用来重置社交账号密码，最后连微信钱包都被清空。根源就在于，多个重要账户共用一套登录信息。
密码越简单，风险越成倍放大
如果密码本身还很弱，比如 abc123、qwe123 这类常见组合，那根本不需要等数据泄露，暴力破解工具几秒钟就能试出来。更别说有些网站明文存储密码，管理员都能直接看到你的登录凭证。这时候你还用同一套密码，相当于把家里所有钥匙串挂在小区公告栏上。
别指望“我这账号不重要”
很多人觉得：“我的豆瓣账号能有啥价值？用同一个密码没关系。”但问题是，攻击者不在乎你觉得自己重要不重要。他们靠自动化脚本批量扫，只要有一处突破，就能顺藤摸瓜。而且很多平台支持“通过邮箱找回密码”，一旦你的邮箱失守，其他所有关联账户都会面临风险。
怎么管才靠谱？
最简单的办法是启用双重验证（2FA），尤其是邮箱、支付类账户。即使密码被撞库，对方没有手机验证码或身份验证器也进不来。但这还不够，关键还是得让每个账号有自己的独立密码。
自己记一堆复杂密码不现实，这时候可以用密码管理器，比如 Bitwarden、1Password 这类工具。它们能生成并保存高强度随机密码，你只需要记住一个主密码。就算某个网站出事，影响也只局限在那个账号，不会牵连其他。
举个例子：
<!-- 自动生成的密码示例 -->
购物网站：Xk9#mP2$vL8&nR4
银行系统：Tq7!wE5*rN3^sK9
论坛账号：Mn2@xH6&kD1$vP7实在不想用管理器，至少把最关键的服务——邮箱、支付、身份证相关——和其他普通账号分开设置密码。哪怕只分两组，也比全部通用强得多。
网络安全不是非黑即白的事，但用同一个密码，等于主动把防御线拉到最低。你可能一直没事，也可能某天醒来发现所有账户都被接管。别等到那时候才后悔当初图省事。