大家都知道不要重複用密碼，
但還是重複用
為什麼現在很紅：「我知道不該這樣，可是要記的密碼實在太多了。」帳號被登入的業務，在好幾個網站用同一組密碼。
- 一句話結論
- 員工重複使用密碼不是因為不知道，而是安全的做法太麻煩；一處外洩，同一組密碼用過的地方就處處失守。
- 他要的是什麼
- 他不用猜你的密碼，別的網站已經替他外洩好了；他只要換個網站再輸入一次。
- 你今天做一件事
- 今天就挑公司最重要的五個系統，確認都已強制兩步驟驗證；沒有的，就是密碼一外洩就會被登入的地方。 直接去做 →
- 哪些能信
- 3 可證明2 推論2 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；涉及的是業務系統帳號與多個外部網站，不是特定主機）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 身分層：員工在多個網站重複使用同一組密碼，其中一個曾外洩；業務系統沒有兩步驟驗證；密碼政策只要求複雜度、沒有比對外洩清單；公司沒有提供核准的密碼管理器
- 馬上自我檢測
列出郵件、SSO、會計、客戶資料、雲端管理後台，確認是否都強制兩步驟驗證 查看身分平台是否開啟弱密碼／禁用密碼清單 對照現行密碼政策是否仍強制組成規則、是否比對外洩清單- 漏洞修補方式
- 重要系統先強制兩步驟驗證；密碼政策改成「夠長、不在外洩清單上」並取消強制組成規則；開啟身分平台的禁用密碼清單並加入公司專屬禁用詞；提供公司核准的密碼管理器；教育訓練改成示範；帳號出事時橫向檢查同一組密碼
有 15 分鐘再看：其餘 2 點
- NIST 最新指引說，設定密碼時應比對常用與已外洩的密碼清單，而且不應再強制混用大小寫和符號；夠長、不在外洩清單上，比複雜重要。
- 不用先買工具：重要系統先強制兩步驟驗證、開啟身分平台的禁用密碼清單、提供核准的密碼管理器、把教育訓練改成示範。
每次資安教育訓練都講密碼要夠長、不要重複用，台下每個人都點頭，回到座位註冊新網站，輸入的還是那組用了好幾年的密碼。問題不在員工不知道，而在安全的做法比方便的做法麻煩太多。這篇講怎麼讓安全變成最方便的那條路。
本篇目錄
「要記的密碼實在太多了」
假設有一家四十人的旅行社，業務 G 的訂房系統帳號被他人登入，幾筆訂單的聯絡資料被改掉。
先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。調查後發現，G 在好幾個網站用同一組密碼，其中一個網站曾經外洩。G 並沒有不在乎，他說：「我知道不該這樣，可是要記的密碼實在太多了。」
這篇要講的只有一件事：問題不在員工不知道，而在安全的做法比方便的做法麻煩太多；要改的是那條路，不是那個人。
重複用密碼，風險在哪裡
第一層是一處外洩、處處失守。同一組密碼用在很多地方，任何一個網站外洩，就等於全部都外洩。
第二層是弱密碼好猜。「公司名稱加年份」這類密碼，很容易被猜到。
第三層是看不到全貌。IT 不知道誰的密碼弱、重複或已經外洩。
最後是宣導效果有限。知道和做到之間有落差，每年講一次不會讓它消失。
這篇示意情境裡，有哪些鑰匙被撿走
這是示意情境，沒有實際外洩；下表列的是重複使用密碼時，同一把鑰匙在不同地方的樣子。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| 曾外洩的外部網站 | 帳號＋密碼 | 員工個人或工作上註冊的網站 | 外洩名單中的一列 | 第三方網站的外洩資料 | 該網站帳號；但同一組密碼也用在別處 | 示意情境；已外洩 |
| 訂房業務系統 | 帳號密碼（未開兩步驟驗證） | 業務處理訂單 | 與外洩網站同一組密碼 | 公司業務系統 | 可查看與修改訂單、客戶聯絡資料 | 示意情境；被他人登入並修改資料 |
兩列的共同點是：是同一把鑰匙，只是插在不同的門上。
能證明的、只能推論的
這篇是觀點文，情境是示意的，所以能證明的只有官方指引與文件寫明的內容；情境裡的因果只能算推論。
不花錢就能做的流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的六步流程。
第一步，重要系統先上兩步驟驗證。 郵件、SSO、會計、客戶資料、雲端管理後台，全部強制開啟。這是投入最少、效果最大的一步。
第二步，更新密碼政策。 依 NIST SP 800-63B-4，設定或變更密碼時比對常用與已外洩的密碼清單，並取消強制組成規則。換句話說，「夠長而且不在外洩清單上」比「複雜」重要。
第三步，打開系統內建的弱密碼阻擋。 例如 Microsoft Entra Password Protection，全域禁用清單自動套用，再加入公司專屬的禁用詞。
第四步，提供一個公司核准的密碼管理器。 讓「產生並自動填入強密碼」變成最方便的做法。
第五步，教育訓練改成示範。 從「不要重複用」改成「示範怎麼用工具產生和儲存密碼」。
第六步，事件發生時橫向檢查。 帳號出事時，先查這個人在其他系統是否用了同一組密碼；把查過的系統列成一張 lateral-check-g9t 清單，下次出事直接照著跑。
什麼時候不需要買工具
如果大部分系統都已經接上 SSO 並強制兩步驟驗證，員工要記的密碼就很少，密碼管理器的急迫性也跟著降低。反之，非 SSO 帳號越多，越需要密碼管理器。
真的要看工具，市面上大致分三類。身分平台內建的 Microsoft Entra Password Protection（禁用密碼清單）、Google Workspace 的兩步驟驗證強制。開源密碼管理器有 Bitwarden（原始碼公開）、自架的 Vaultwarden（非官方、相容 Bitwarden）、KeePassXC（本機、GPLv3、無雲端）。商用密碼管理器如 1Password，官網的 Watchtower 頁列出弱密碼、重複密碼、已外洩密碼、缺少 2FA 等報告，但只能檢查存進 1Password 的項目；其他商用方案也有類似報告，範圍要自行確認。
限制也要一起看：密碼管理器只看得到存進去的密碼；導入需要教育訓練和一段過渡期；主密碼和復原機制本身也要管理。選的時候看三件事：非 SSO 帳號越多，越需要密碼管理器；需要集中管理、報告、離職處理的話，選有管理後台的商業方案；有維運能力才考慮自架。
這篇提到的項目要花多少錢
這篇的方法以既有功能和人力為主；商用密碼管理器與 Entra 授權的價格本文來源沒有列，照實標出來。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 五個重要系統強制兩步驟驗證 估 | IT 一人＋員工協助 | 估 半天 | 一次性 | — | — | 本站估算 |
| 更新密碼政策文件 估 | IT 一人 | 估 1–2 小時 | 一次性 | — | — | 本站依 NIST 指引估算 |
| NIST SP 800-63B-4 指引 | 公開文件 | 免費取得 | — | 0.00 | 0 | NIST 官網 |
| Microsoft Entra Password Protection | 依使用者數 | 本文來源未列授權與價格 | 訂閱 | — | — | 本文來源未列價格 |
| KeePassXC／Vaultwarden 自架 | 開源 | 軟體免費，自架的主機與維護另計 | — | 0.00 | 0 | 各工具官網與原始碼頁 |
| 商用密碼管理器 | 依人數 | 本文來源未列價格 | 訂閱 | — | — | 本文來源未列價格 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
最貴的不是密碼管理器，是一組用了好幾年的密碼，在你不知道的某個網站外洩之後，被拿來改了你客戶的聯絡資料。
你可以學到什麼
站在攻擊者那一側看，重複使用的密碼是最省力的入口：他不需要猜、不需要破解，只要拿別處外洩的帳密換個網站輸入一次。複雜度規則擋不住他，因為那組密碼本來就符合規則；擋得住他的是兩步驟驗證，以及設定時就比對外洩清單。
- 01員工重複使用密碼通常不是不知道，而是安全的做法太麻煩；要改的是流程和工具，不是只靠宣導。
- 02重要系統強制兩步驟驗證是投入最少、效果最大的一步，密碼外洩時它還擋得住。
- 03NIST SP 800-63B-4 要求設定密碼時比對常用與外洩清單，並不再強制組成規則；夠長、不在外洩清單上比複雜重要。
- 04身分平台內建的禁用密碼清單可以加入公司名稱和產品名，直接擋掉最好猜的那一類。
- 05帳號出事時先橫向檢查同一個人在其他系統是否用了同一組密碼，一處外洩往往不只一處受害。
- 01密碼重複使用（Password Reuse）這篇的主角：一處外洩，所有用過同一組密碼的地方都失守。
- 02NIST SP 800-63B-42025 年 7 月發布的最新指引，改寫了「什麼是好密碼政策」。
- 03外洩密碼清單比對設定密碼時就擋掉已外洩的那些，比事後偵測便宜得多。
- 04組成規則（Composition Rules）強制混用大小寫和符號；NIST 說不應再加諸；夠長、不在外洩清單上比複雜重要。
- 05Microsoft Entra Password Protection全域禁用清單加公司專屬禁用詞，擋掉最好猜的密碼。
- 06兩步驟驗證（2FA）密碼已經外洩時，唯一還擋得住登入的那一道。
- 07SSO（單一登入）接上 SSO 的系統越多，員工要記的密碼就越少。
- 08密碼管理器讓「每個網站一組隨機強密碼」變成最方便的做法。
- 09Watchtower 類密碼健康報告列出弱、重複、已外洩的密碼，但只看得到存進去的項目。
- 10橫向檢查事件發生時，先查同一組密碼還用在哪裡。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 列出郵件、SSO、會計、客戶資料、雲端管理後台五個系統，逐一查看兩步驟驗證是否強制（唯讀）看到什麼代表什麼：任何一個沒強制，就是密碼一外洩就會被登入的地方。
- 打開現行密碼政策，看是否仍強制組成規則、是否比對外洩清單（不用指令）看到什麼代表什麼：只要求複雜度、沒比對外洩清單的，就和 NIST 最新指引方向相反。
- Microsoft 365 公司：Entra 管理中心查看 Password Protection 的自訂禁用清單（唯讀）看到什麼代表什麼：清單是空的，代表公司名稱加年份這類密碼現在還設得進去。
- 問三位同事：工作上的密碼存在哪裡（不用指令）看到什麼代表什麼：答案是「記在腦子裡」或「瀏覽器自己記」，就是公司還沒提供那條方便又安全的路。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 7 分鐘。
來源
- NIST SP 800-63B-4（線上版）：數位身分指引—驗證與生命週期管理
- NIST CSRC：SP 800-63B-4 正式版發布頁
- Microsoft Entra：以 Password Protection 排除不良密碼
- Google Workspace：部署兩步驟驗證
- Bitwarden：開源說明
- Vaultwarden（相容 Bitwarden 的非官方伺服器）
- KeePassXC（本機密碼資料庫）
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M2 身分與金鑰 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。