上周三深夜，我被微信电话炸醒。
是我那个平时把“密码要设成16位混大小写加特殊符号”挂在嘴边的朋友，他说自己的淘宝账号在千里之外的新疆被人登了，刚下单了三箱他根本不爱喝的功能饮料，快递地址都填到了当地的乡镇代收点。他当时在电话那头快哭了，说那三箱饮料要是真寄到他老家，他爸妈还以为他在外面搞什么批发呢。
他懵了。
反复跟我念叨，自己的密码从来没告诉过任何人，上次改密码还是三个月前，连自己都要对着存在备忘录里的密码本输半天才记得住，怎么就被人登了？
我当时跟他说，你根本没开双因素认证啊。
他更懵了，说我不是每次登账号都要收短信验证码吗？那不算？
你攒了半年的复杂密码，可能根本防不住偷号的人
很多人对账号安全的认知，还停留在“密码越复杂越安全”的阶段。
但现在的黑产偷号，根本不是守在登录页一个字符一个字符瞎试。他们手里攥着几百万、几千万条从各个小网站漏出来的账号密码，拿着现成的列表对着各个大平台挨个试——你在某个不知名的论坛留过的手机号和密码，可能早就在黑产的群里卖了几块钱一份。你根本不知道你三年前在哪个破网站留过的密码，现在正躺在哪个黑产的文件夹里卖一毛钱一份。
你以为你密码设的够复杂，连自己都记不住？
在人家眼里，那串你翻了半天密码本才能输对的字符，就是一行可以直接复制粘贴的明文。
我那个朋友就是，三年前在一个早就倒闭的小众读书APP上留过和淘宝一模一样的账号密码，那次数据泄露之后，他的账号信息在黑产库里躺了三年，直到上个月被爬虫脚本扫到，试了一次就登进去了。
他当时盯着登录记录看了半天，说那脚本试密码的速度，比他自己输密码快100倍。
这时候你就会发现，单靠一个你记在脑子里的密码，就像你家的门锁只装了一个纸质的门闩——看起来挺结实，其实人家从墙根底下摸过来，轻轻一推就开了。
别把“短信验证码”等同于靠谱的双因素认证
说到这肯定有人要抬杠，我每次登录都要收6位短信验证码，就算对方知道我密码，拿不到我手机里的验证码，不也登不进去？
这话只说对了一半。
现在的短信验证码，真的没你想的那么牢靠。
之前我同事就遇到过，接到个自称是快递客服的电话，对方连他三天前买的什么牌子的抽纸都能报出来，说快递丢了要按原价赔给他，让他把收到的验证码念过去就能打款。他当时没多想，念完之后转头就发现，自己绑在支付软件里的钱被转走了小几千。
你看，所谓的短信验证，本质上还是靠你“自觉”把验证码告诉别人，或者靠运营商的短信通道传个数字过来——现在的伪基站、电信诈骗套路，想截你个短信验证码，真的没那么难。
真正靠谱的双因素认证，核心从来不是多要你一个数字，而是要求你同时持有两个完全独立的验证项：一个是你记在脑子里的密码，另一个是你实实在在拿在手里的东西。
这个“手里的东西”，可能是装在你手机里的独立验证器APP——每隔30秒自动刷新一次6位动态码，就算你的手机号被劫持，对方也拿不到这个实时变化的码；也可能是个指甲盖大小的硬件密钥，插在电脑或者手机上按一下，就算有人站在你旁边偷瞄你输密码，没有这个小硬件，他照样进不去你的账号。
不过话说回来，也不是说短信验证就完全没用。至少比你啥防护都不开强，只是别把它当成能挡住所有小偷的铜墙铁壁就行。
开双因素根本不麻烦，别等号没了才后悔
我知道很多人抵触开双因素，说白了就是嫌麻烦。
觉得每次登账号都要多输一串数字，耽误时间。
但你算过账没有？
你花10秒钟在账号安全页点开双因素的开关，绑定一次验证器，之后每次登录只要在弹出来的提示上点个“信任此设备30天”，之后整整一个月都不会再弹验证框。就像你去公司楼下的便利店买咖啡，第一次扫会员码付完款，之后一个月你只要点开付款码，店员扫一下就完事，根本不会让你每次都重新输会员卡号。
真的不麻烦。
我之前也嫌麻烦，把自己存了好几年旅行照片的网盘双因素给关了。结果上个月翻登录记录的时候发现，有人半年前就用撞库的方式登进了我的账号，在我的网盘里存了好几个G的盗版影视剧，把我本来就不充裕的免费存储空间占了一大半。我找客服申诉、填身份验证表、等了整整48小时，才把那些乱七八糟的东西清干净。
那时候我才后悔，早知道花10秒钟把开关打开，哪来这么多破事？
你别觉得这种事离你远。
上次我妈跟我视频，说她的社交账号被人拿去给她所有好友发诈骗链接，她自己登都登不进去，折腾了快一周才把号找回来，期间好几个老同事差点被骗子骗了钱。她之前也是说，开那个验证太麻烦，每次输完密码还要多输一串码，年纪大了记不住。
现在她把自己所有常用的账号都开了双因素，逢人就说，这东西真的是花10秒钟换好几个月的踏实。
对了，现在就去翻一下你常用的几个账号的设置页，看看双因素的开关是不是还关着。
别等哪天号没了，才想起来当初那10秒钟的懒，偷的是你自己的安全感。