浏览器弹“该密码已在数据泄露中出现”：先分清三种提示，再按四步处理

浏览器弹出「该密码已在数据泄露中出现」，多数人的反应是半信半疑：我又没丢电脑，怎么就泄露了。这条提示不是恐吓，但它说的内容比标题窄，处理方式也和「改个复杂密码」不一样。

三种提示不是同一件事

第一种和第二种有事实依据，值得当天处理；第三种只是建议；第四种最容易出事，因为它往往是网页里的假弹窗，点进去是一个仿冒登录页。分辨方法：真提示来自浏览器的密码管理入口，点开能看到具体条目和站点；出现在网页中间、带按钮、要你登录的，一律先当成钓鱼。

浏览器把你存在密码管理器里的账号标识，与已经公开的泄露数据集做比对，比对过程不会上传明文密码。理解这一层就能推出两件事：一，提示是真的有出处，不是随机恐吓；二，它的范围只有存在浏览器里的这些条目。

所以「没收到提示」不等于安全。那些你从没存进管理器的账号，它根本看不见。站内另一篇讲拖库自查的文章里提到过主动查询的办法，两个思路可以合着用：被动等提示，加主动查一次。

一，先看是哪个站。点进提示能看到条目和对应站点，优先处理邮箱、支付和主要社交账号，这三类能间接接管其它账号。

二，只改这一个站，不要当场发起大换血。一次性换二十个密码的结果通常是重新用回同一个，等于白做。

三，检查同密码列表。如果提示说这组密码也用在别处，那几处才是真正的危险点：别人手上已经有你的账号和正确密码，只是还没在那个站上试过。

四，顺手把二步验证打开。只改密码不配二步验证，下次泄露还是同一个循环。短信验证器、应用验证器或通行密钥都行，重点是别只留密码这一层。

更省事的做法是让浏览器生成随机密码并存回管理器，你只需要记住主账号那一个密码。真正的关键不在密码有多花哨，而在于一个站泄露不会连带其它站。

这三处比密码本身更容易被忽略。很多人改完密码又被顶号，原因不在新密码不够长，而在旧会话和旧恢复方式一直挂着。

两件事分开做。去设置里删除密码条目，提示会安静，但已泄露的数据不会因此消失。如果想彻底一点，走该站的账号注销流程，而不是直接卸载应用了事：账号还在，别人拿旧密码尝试的入口就还在。

这条提示的价值不在于提醒你这个站出事了，而在于它暴露了你在多个站用同一个密码。所以处理重点不是把这一个密码改得更复杂，而是把复用那一串断掉。