半夜突然收到 steam 的邮件

[kylinson]

疑似被盗号了，steam 提示对方从印度的 IP 登陆，输入了正确的用户名和密码。 但是已经一年半没有登陆了，自己都快忘了。 如果真是用户名和密码泄漏，我担心牵连其它不那么重要的账号密码。 问题来了，即使有各种密码管理软件，但是仍然被这种事情困扰，该怎么应对低频非重要账号的保护？

[abwong]

二级验证

[xupefei]

steam 是低频非重要账号？你课金还不够啊。

[irainsoft]

手机令牌 二步验证

[dot]

密码+OTP

[dtgio]

我也收到过，非常奇怪为什么会知道我的密码？

[kokutou]

改了 steam 邮箱。。。整个世界清净了。。。

[zjqzxc]

开二次验证

密码管理软件是用来解决撞库攻击的，避免使用统一的用户名密码时，一家泄露全面遭灾这种情况的。不同账号不同密码，把损失控制在可控的范围。
虽然随机字符串密码一定程度上也可以抵御密码泄露，但鬼知道对方是不是明文存储的。。所以并不能 100%避免泄露。

此外，发生密码泄露后，改一个账号的密码，比改 50 个账号的密码要容易得多

[codexu]

我上个星期也发生了这个，一个 n 年没用的小号，请求验证码
这之后更骚，又来一个将广告账号邮箱改成我的邮箱的邮件，然后账号是花呗白条 qqxxxxxxx
真的是 6

[kylinson]

@abwong @irainsoft @dot @zjqzxc 只要是可以开二次验证 /双重认证的账号，基本都开了。这个也是开了的。
@dtgio @codexu 问题是在于，steam 提示输入了正确的密码，而不是正在（用各种错误密码）尝试登陆。这就细思恐极了。
大家还记得前阵子 lastpass 爆出的漏洞吗？
我不是非常放心直接使用各种乱码型的密码，而是尽量使用长度足够+字符类型多+账号分类使用不同等级的密码的原则，再使用密码管理软件辅助记忆。

[zjqzxc]

@kylinson 被撞库了呗。估计是一个跟 steam 账号密码完全相同的某个账户泄露了。如果说这个用户名密码组合唯一，那就考虑下 steam 的问题了。昨天有个同学也说他的 steam 被异常登录了。

理论上来说，密码管理软件只要主密钥不丢失，密码管理软件是最安全的解决方案
通过密码管理软件可以卡着网站对密码要求的上限来创建密码，包括但不仅限于数字，大小写字母，各种下划线和特殊符号

[codexu]

@kylinson 我也想过这个问题，不知道为什么能输入对账号和密码，问题在于我连这个账号密码都不记得了

[terence4444]

手机令牌绑好即可

[NightRemix]

我的开启了二级验证，每天都能收到 steam 给我发的邮件，平均每天 2 份，告诉我账号被别人进行尝试登陆，我都不清楚我的账号密码是怎么泄露出去的，微信也是，有时候一晚上提醒七八次我的微信账号别人在尝试登陆，我又懒得改密码，就凑合着用吧。