如果你在问怎么查密码有没有泄露，先记住一个现实答案：你通常查到的不是“密码原文正在外面流传”，而是你的邮箱、账号或某次凭证是否出现在已知泄露事件里。 Google、Mozilla 和 Have I Been Pwned 这类服务都提供了不同形式的泄露检查，重点是帮你判断账号是否暴露在已知事件中，以及是否该立刻换密码。［1］［2］［3］

这件事最怕的不是“查不到”，而是明明已经有迹象，你还以为“没收到通知就等于没事”。

关键要点

密码泄露检查，很多时候是先查邮箱或账号是否出现在已知泄露事件里。［1］［2］［3］

陌生登录提醒、平台安全通知、撞库异常和钓鱼误输，都是高危信号。

一旦确认暴露，先处理邮箱、密码管理器和复用密码的高价值账号。

只换当前这个网站的密码还不够，关键是把同一套密码用过的地方一起换掉。

开启 MFA、停用复用密码、检查最近登录记录，往往比“只改一次密码”更重要。

哪些迹象说明你该立刻查一遍？

1. 收到平台泄露通知

这是最直接的信号。只要服务商通知数据事件涉及你的账号，就应该默认这个账号需要尽快处理。

2. 收到陌生登录提醒

如果你看到从陌生地区、陌生设备或异常时间发起的登录，很可能已经有人在试你的密码。

3. 你刚在可疑页面输入过密码

比如钓鱼邮件、假登录页、伪装抽奖页。这时候即使平台本身没泄露，你也应该把它视为“凭证已暴露”来处理。如果这正是你刚遇到的情况，也可以一起看误点钓鱼链接后的止损步骤。

4. 你一直在复用同一套密码

哪怕当前还没看到明显异常，复用本身就意味着一处出事，处处跟着受影响。如果你已经在纠结“到底什么时候该主动换密码”，也可以一起看该主动换密码的时机。

怎么查密码有没有泄露？先查哪三类信息来源

1. 账号泄露查询服务

Have I Been Pwned 可以按邮箱查询已知泄露事件；Mozilla Monitor 也提供类似的个人曝光检查。［2］［3］这类工具的价值在于帮你确认“这个邮箱有没有出现在已知泄露数据里”。

2. 浏览器或账号安全检查

Google Password Checkup 和 Google 账号安全检查，会提示已保存密码是否弱、是否复用、是否出现在已知数据泄露中。［1］

3. 平台自己的安全中心

很多服务本身就会给出最近登录、设备记录、双重验证状态和异常提醒。这一步虽然最朴素，但往往最能直接看到“有人已经进来没有”。

密码泄露怎么办？按这个顺序处理更稳

顺序	先做什么	为什么
1	先换主邮箱密码	邮箱常是其他账号的重置入口
2	检查密码管理器和云账号	一旦失守，连带面最大
3	处理所有复用同一密码的网站	防止撞库扩散
4	打开 MFA 并查看最近登录记录	补上第二道门，顺手确认有没有陌生设备

收到泄露消息后，先打开服务的官方应用，或自行输入已知官网地址，再采取行动。不要通过消息里的登录链接验证消息本身。到账号安全记录中对照账号、事件和设备；复制的标识或催促处理的标题都不算证据。陌生登录值得核查，但地点异常也可能来自 VPN 或移动网络，不能仅凭地点认定另一个人登录。［4］

使用可信设备恢复账号。将受影响密码及所有复用密码改成不同的密码，再检查已登录设备和会话。退出陌生会话，必要时使用服务提供的“退出所有设备”功能；不要假定改密码会终止所有会话。［4］［6］

例如 Google 支持单独查看并退出设备会话。同一设备可能有多个会话，应检查全部陌生记录，不能只删掉一个看起来熟悉的设备名称。［4］［6］

检查恢复邮箱、手机号码、MFA 方法和获准访问账号的应用。通过服务的官方设置移除未经你授权的变更和权限。邮箱账号还要检查转发规则与过滤器：密码改完后，攻击者仍可能收到邮件。［4］

无法登录或恢复资料被改时，走官方账号恢复流程，不要向承诺找回账号的陌生人付款。工作账号则通过已知渠道联系组织管理员。［4］

不要向陌生“泄露查询站”提交真实密码、验证码或恢复码。邮箱泄露查询和密码暴露检查是不同服务；HIBP 的邮箱结果不会提供对应账号的密码。某个密码出现在泄露库里，不能指明哪个账号使用过它；邮箱被收录也不能证明当前密码已被掌握。应通过服务自己的安全工具判断哪些资料受影响。［5］

没有查询结果不等于安全：HIBP 只覆盖已知记录，不能覆盖所有未被发现或公开的泄露。完成变更后，再看账号安全活动与设备列表，确认恢复资料和 MFA 属于你，核查新出现的陌生会话。成功登录只证明当时可以访问账号，不能证明所有未经授权的访问路径都已清除。［4］［5］［6］

“查到了泄露”只有一种结果吗？

不是。你可能遇到的是：

邮箱出现在某次数据事件里，但密码是否仍有效未知；
某个平台明确提示密码已出现在已知泄露库中；
只是高风险怀疑，比如你刚把密码输进钓鱼页；
浏览器告诉你密码被复用且曾出现在已知泄露中。［1］［2］［3］

这些情况严重度不同，但共同点是： 一旦牵涉到核心账号或复用密码，就不该拖。

我的建议：以后别只查“有没有泄露”，还要查“是不是还在复用”

很多人做完一次泄露查询就放心了。但更大的隐患常常是：你查到了一个暴露账号，却没顺手处理同一套密码还在哪些地方继续用。

你可以把这篇数字隐私保护指南作为更完整的排查清单，顺手检查账号、设备、标识符和数据经纪人暴露面。

如果你已经决定收口密码习惯，也可以接着看密码管理器的风险与正确用法。

总结

怎么查密码有没有泄露，最常见的做法是查邮箱、账号或浏览器保存密码是否出现在已知泄露事件里。［1］［2］［3］
平台通知、陌生登录、钓鱼误输和长期复用密码，都是该立刻排查的信号。
一旦确认有风险，先守主邮箱、密码管理器和所有复用密码的高价值账号。
只改一个站点的密码通常不够，关键是把整条复用链一起断掉。

常见问题（FAQ）

能直接查到“我的密码原文有没有泄露”吗？

很多公开工具更常查的是邮箱或账号是否出现在已知泄露事件里，而不是直接展示你的密码原文。［2］［3］

收到陌生登录提醒，但还没丢号，要不要改密码？

先直接打开官方服务核实提醒，不要点击通知里的陌生链接。如果确有不认识的登录，应及时更换密码并检查仍有效的会话。

查到邮箱出现在泄露事件里，就一定代表账号现在还能被登录吗？

不一定，但只要涉及重要账号或密码复用，仍然应尽快更换并检查登录记录。

只改这个网站的密码就够了吗？

不够。如果其他账号复用了同一个密码，也应逐一更换，为每个服务设置不同的强密码，优先处理主邮箱和高风险账号。

开了双重验证，还需要做泄露检查吗？

需要。MFA 很重要，但不能替代你对泄露和复用风险的处理。

最值得先保住的账号是哪几个？

主邮箱、密码管理器、Apple ID / Google 账号，以及金融和工作协作账户。如果你想按“出事后先做什么”来排优先级，也可以接着看你的数据被泄露了！该怎么办？(急救指南)。

免责声明

本文仅供一般账号安全教育参考，不构成对任何具体泄露查询服务、浏览器或平台功能的完整性承诺。

来源

Google Safety Center, Security Settings and Tools for Your Protection: https://safety.google/intl/en_us/settings/security-settings/
Have I Been Pwned: Check if your email address has been exposed in a data breach: https://haveibeenpwned.com/
Mozilla Monitor, How it works: https://monitor.mozilla.org/how-it-works
Google Account Help, Secure a hacked or compromised Google Account: https://support.google.com/accounts/answer/6294825?hl=en
Have I Been Pwned, Frequently Asked Questions: https://haveibeenpwned.com/FAQs
Google Account Help, See devices with account access: https://support.google.com/accounts/answer/3067630?hl=en

Sources checked 2026 年 10 月 9 日。

延伸阅读：

怎么查密码有没有泄露？先查这 4 个信号，再按顺序把高风险账号收回来