外洩的不是公司系統，是員工拿公司信箱註冊的網站

一則來自國外的登入通知

假設有一家三十五人的行銷公司，設計師 F 用公司信箱註冊了一個範本網站，密碼和公司信箱只差一個數字。某天公司信箱出現一則異常登入通知，地點在國外。

先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。事後才知道，那個範本網站幾個月前外洩過，而公司信箱沒開兩步驟驗證。公司的系統一行程式都沒被攻破，破口在一個 IT 從沒聽過的網站上。

這篇要講的只有一件事：外洩不一定發生在你的系統裡，但它會順著重複的密碼走回來。

外洩在別人家，風險在哪裡

第一層是外洩發生在看不到的地方。被駭的是第三方，公司的防護碰不到。

第二層是密碼重複使用把風險帶回公司。用外洩的帳密去試其他網站，常被稱為撞庫（credential stuffing）；密碼只差一個數字，幾乎等於同一組。

第三層是名單本身就是情報。就算密碼不重複，帶著公司網域的 email 名單也可能被拿來發釣魚信。

最後是時間差。外洩被公開時，往往已經發生一段時間了。

這篇示意情境裡，有哪些鑰匙被撿走

這是示意情境，沒有實際外洩；下表列的是這類事件裡，從第三方網站流出、再被拿來試公司系統的憑證。

兩列的共同點是：第一列在別人家外洩，第二列在自己家被登入，連起來的只有一組相似的密碼。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方頁面寫明的功能；情境裡的因果只能算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。

第一步，公司信箱全員強制兩步驟驗證。 Google Workspace 可以依使用者或群組強制兩步驟驗證；Microsoft 365 也有對應的設定。這一步最能降低「密碼外洩就被登入」的機率。

第二步，查一次公司網域。 用網域擁有者身分到 Have I Been Pwned 做網域搜尋；大量或自動化查詢需要付費 API 訂閱，使用前請自行確認條款。

第三步，外洩應變流程。 收到外洩通知或異常登入時，誰通知當事人、誰重設密碼、誰查登入紀錄和轉寄規則，事先寫好，檔名就叫 breach-runbook-m7，放在大家找得到的地方。

第四步，查轉寄規則。 帳號被入侵後，攻擊者常會設定自動轉寄。定期檢查郵件系統有沒有轉寄到外部的規則。

第五步，外部註冊要登記。 工作需要註冊外部網站時，登記在 SaaS 清單上，離職時才知道要處理哪些帳號。

什麼時候不需要買工具

二三十人的公司，「全員兩步驟驗證、偶爾查一次網域、寫好應變流程」，已經涵蓋了這個情境的主要風險。持續監控工具的價值，在網域大、人數多，或需要稽核紀錄的時候。

真的要看工具，市面上大致分四類。公開外洩查詢服務如 Have I Been Pwned 的網域搜尋（網域擁有者驗證後使用），以及付費 API。身分平台內建的 Google Workspace、Microsoft 365 兩步驟驗證強制、登入紀錄和異常登入警示。密碼管理器的外洩監控：不少密碼管理器能檢查已存密碼是否出現在外洩事件中，各家範圍不同，要自行確認；1Password 的 Watchtower 頁另外列出網域外洩報告，公司網域的 email 出現在公開外洩事件時發出警報。最後是商用的威脅情資服務，監控暗網和外洩資料，適合規模較大的組織。

限制也要一起看：外洩監控只能讓你「早點知道」，重設密碼、調查登入紀錄還是要自己做；查得到的只有已被公開或收錄的外洩事件。選的時候看三件事：小公司用免費查詢加兩步驟驗證就夠了；已經在用密碼管理器的，先確認它有沒有外洩監控功能；收到警報後要有人處理，監控才有意義。

這篇提到的項目要花多少錢

這篇的方法以人力和既有功能為主；付費 API 與商用服務的價格本文來源沒有列，照實標出來。

最貴的不是監控服務，是信箱被登入那段時間，你說不出有哪些信被讀過、轉到哪裡去。

你可以學到什麼

站在攻擊者那一側看，第三方網站的外洩名單是一份已經篩好的清單：他只要找出帶著某家公司網域的 email，把密碼稍微變化一下去試郵件登入。沒開兩步驟驗證的信箱一登就進，進去之後先設一條自動轉寄，之後就不用再登入了。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。