大家都知道不要重複用密碼，但還是重複用

「要記的密碼實在太多了」

假設有一家四十人的旅行社，業務 G 的訂房系統帳號被他人登入，幾筆訂單的聯絡資料被改掉。

先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。調查後發現，G 在好幾個網站用同一組密碼，其中一個網站曾經外洩。G 並沒有不在乎，他說：「我知道不該這樣，可是要記的密碼實在太多了。」

這篇要講的只有一件事：問題不在員工不知道，而在安全的做法比方便的做法麻煩太多；要改的是那條路，不是那個人。

重複用密碼，風險在哪裡

第一層是一處外洩、處處失守。同一組密碼用在很多地方，任何一個網站外洩，就等於全部都外洩。

第二層是弱密碼好猜。「公司名稱加年份」這類密碼，很容易被猜到。

第三層是看不到全貌。IT 不知道誰的密碼弱、重複或已經外洩。

最後是宣導效果有限。知道和做到之間有落差，每年講一次不會讓它消失。

這篇示意情境裡，有哪些鑰匙被撿走

這是示意情境，沒有實際外洩；下表列的是重複使用密碼時，同一把鑰匙在不同地方的樣子。

兩列的共同點是：是同一把鑰匙，只是插在不同的門上。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方指引與文件寫明的內容；情境裡的因果只能算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的六步流程。

第一步，重要系統先上兩步驟驗證。 郵件、SSO、會計、客戶資料、雲端管理後台，全部強制開啟。這是投入最少、效果最大的一步。

第二步，更新密碼政策。 依 NIST SP 800-63B-4，設定或變更密碼時比對常用與已外洩的密碼清單，並取消強制組成規則。換句話說，「夠長而且不在外洩清單上」比「複雜」重要。

第三步，打開系統內建的弱密碼阻擋。 例如 Microsoft Entra Password Protection，全域禁用清單自動套用，再加入公司專屬的禁用詞。

第四步，提供一個公司核准的密碼管理器。 讓「產生並自動填入強密碼」變成最方便的做法。

第五步，教育訓練改成示範。 從「不要重複用」改成「示範怎麼用工具產生和儲存密碼」。

第六步，事件發生時橫向檢查。 帳號出事時，先查這個人在其他系統是否用了同一組密碼；把查過的系統列成一張 lateral-check-g9t 清單，下次出事直接照著跑。

什麼時候不需要買工具

如果大部分系統都已經接上 SSO 並強制兩步驟驗證，員工要記的密碼就很少，密碼管理器的急迫性也跟著降低。反之，非 SSO 帳號越多，越需要密碼管理器。

真的要看工具，市面上大致分三類。身分平台內建的 Microsoft Entra Password Protection（禁用密碼清單）、Google Workspace 的兩步驟驗證強制。開源密碼管理器有 Bitwarden（原始碼公開）、自架的 Vaultwarden（非官方、相容 Bitwarden）、KeePassXC（本機、GPLv3、無雲端）。商用密碼管理器如 1Password，官網的 Watchtower 頁列出弱密碼、重複密碼、已外洩密碼、缺少 2FA 等報告，但只能檢查存進 1Password 的項目；其他商用方案也有類似報告，範圍要自行確認。

限制也要一起看：密碼管理器只看得到存進去的密碼；導入需要教育訓練和一段過渡期；主密碼和復原機制本身也要管理。選的時候看三件事：非 SSO 帳號越多，越需要密碼管理器；需要集中管理、報告、離職處理的話，選有管理後台的商業方案；有維運能力才考慮自架。

這篇提到的項目要花多少錢

這篇的方法以既有功能和人力為主；商用密碼管理器與 Entra 授權的價格本文來源沒有列，照實標出來。

最貴的不是密碼管理器，是一組用了好幾年的密碼，在你不知道的某個網站外洩之後，被拿來改了你客戶的聯絡資料。

你可以學到什麼

站在攻擊者那一側看，重複使用的密碼是最省力的入口：他不需要猜、不需要破解，只要拿別處外洩的帳密換個網站輸入一次。複雜度規則擋不住他，因為那組密碼本來就符合規則；擋得住他的是兩步驟驗證，以及設定時就比對外洩清單。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。