在近年大规模数据泄露事件中，安全研究员统计出的 TOP 10 常用密码至今仍被数百万人使用，其中榜首依然是123456。
许多用户自认为使用了“大小写加数字”的复杂组合便高枕无忧，但事实是：自以为的“强密码”，在黑客眼中可能不堪一击。
弱口令的真实威胁
黑客破解密码并非依靠人工逐个尝试，而是采用字典攻击。他们将数十亿个常见密码组合构建成巨大的“密码本”，直接对账号进行批量匹配。只要你的密码存在于这个库中，等同于裸奔。
常见的弱口令主要分为以下四类：
1. 纯数字序列：如 123456、888888、654321。这类密码在字典中排序靠前，可被秒破。
2. 键盘路径：如 qwerty、asdfgh、1qaz2wsx。看似杂乱，实则是键盘上最顺手的组合，是黑客的首选尝试对象。
3. 个人信息拼凑：如姓名 + 生日（zhangsan1990）、车牌号、手机号后六位。一旦黑客掌握用户基本信息，此类密码极易被破解。
4. 经典单词替换：如 P@ssw0rd、admin123、password1。将字母替换为相似符号（o 换 0、a 换@）是黑客熟知的套路。
测试数据显示：一个 8 位纯数字密码，利用普通显卡运行字典攻击，不到 1 秒即可破解；6 位小写字母密码也不到 1 分钟。但若使用 12 位完全随机的大小写字母、数字及符号组合，破解时间将延长至数百年。
密码安全的核心差距不在于“复杂度”，而在于长度。
为何“大小写 + 数字”策略失效？
受限于企业密码策略，用户习惯设置包含大小写、数字和符号的 8 位以上密码，从而衍生出 P@ssw0rd、Admin123!、Welcome2024 等固定模式。然而，黑客同样掌握这些规律。
现代字典攻击已升级为“智能变形”：
- 基础单词自动变形：password → P@ssw0rd → P@ssw0rd! → P@ssw0rd2024
- 全量替换常见单词，并拼接年份、季节及流行词
- 直接利用历史泄露数据库作为字典，利用人类懒惰的共性
某公司内部数据显示：80% 符合“复杂度要求”的密码，依然在字典攻击的前 10% 范围内被破解。用户在玩“复杂度游戏”，而黑客在玩“人类行为学游戏”。
此外，社会工程学也是重要威胁。黑客无需高技术手段，仅凭用户的公司背景、宠物名称、旅游轨迹等信息，即可将密码猜测范围缩小至数十种组合。例如，某高管密码因“公司名 + 宠物名 + 年份”的规则，在日常交谈中被轻易推测。
构建真正安全的密码体系
对于普通用户而言，核心建议是：放弃 manually 构思密码，转而使用密码管理器。
密码管理器的工作原理：
- 用户仅需记忆一个高强度的主密码
- 其余所有网站密码由软件自动生成随机字符串（如：xK9#mP2$vL8@nQ3!）
- 实现“一站一密”，即使单站泄露，其他账号依然安全
主流工具包括 Bitwarden、1Password 等，关键在于实际部署使用。
更进阶的方案是采用Passkey（通行密钥）。这是 FIDO 联盟推出的新标准，利用生物识别（指纹/面容）直接登录，从根本上摒弃传统密码。目前 Google、苹果、微软均在大力推广，若网站支持，建议优先启用。
最后，重要账号必须开启双因素认证（2FA）。即使密码泄露，缺乏手机验证码或认证器 App，黑客也无法登录。微信、支付宝、Gmail 等核心账户务必开启此功能。
行动建议
黑客攻击通常采用批量扫描而非针对个人。用户无需追求绝对的“完美安全”，只需让密码强度高于平均水平，即可拦截 90% 的自动化攻击。
建议立即执行以下三项措施：
- 访问 haveibeenpwned.com 查询邮箱是否出现在已知泄露库中
- 检查核心账户（邮箱、支付、社交）是否已开启 2FA
- 安装密码管理器，利用其自动生成并保存高强度密码
总结：长度永远比复杂度重要。与其纠结是否添加特殊符号，不如直接将密码长度扩展至 12 位以上，大幅增加黑客的破解成本。