過年期間在網咖上網，朋友 QQ 與信箱密碼同時被盜。雖透過 QQ 保護找回帳號，信箱卻只能重註冊。深入調查後，揭露了「密碼監聽器」竊取郵箱密碼 + 社交工程騙取個資 + 通用密碼撞庫的完整攻擊鏈。
攻擊還原
- 植入監聽器：網咖電腦僅裝計時軟體，無防毒/防火牆。安裝防火牆後發現可疑程式「密碼監聽器」，專盜區域網路內 Web 郵箱帳密並郵寄給攻擊者。
- 社交工程釣魚：朋友收到「中獎通知」郵件，要求提供 QQ 號、手機、地址、身分證等個資。因中獎降低警覺，誠實回覆。
- 撞庫登入：攻擊者已盜得郵箱密碼，利用「多數人郵箱與 QQ 使用相同密碼」習慣，直接嘗試登入 QQ，順利盜號。
防範關鍵
- 拒絕通用密碼：每個帳號使用獨立、高強度密碼，善用密碼管理器。
- 公共電腦不輸入敏感帳密：網咖、圖書館等公共環境極可能植入鍵盤記錄器、表單攔截器。
- 攜帶隨身碟攜帶便攜版瀏覽器/工具：避免使用公用機器的瀏覽器自動填入帳密。
- 警惕中獎/緊急通知郵件：官方活動不會索取身分證、密碼等敏感資訊；直接登入官網驗證，勿點郵件連結。
- 開啟雙因子驗證（2FA）：即使密碼外洩，攻擊者無法通過第二重驗證。
此案例揭示：技術手段（監聽器）+ 心理操縱（釣魚）+ 慣性弱點（通用密碼）三者結合，才能完成連環盜號。斷開任一環節即可化險為夷。