如果你正在查如何檢查密碼有否外洩，先記住一個現實答案：你通常查到的，不是「密碼原文正在網上流傳」，而是你的電郵、帳戶或某組登入憑證有沒有出現在已知資料外洩事件中。 Google、Mozilla 和 Have I Been Pwned 這類服務都提供不同形式的外洩檢查，重點是幫你判斷帳戶是否暴露在已知事件裏，以及是否要立即改密碼。［1］［2］［3］很多香港用戶會搜尋「點樣查密碼有冇外洩」，其實想知道密碼外洩怎麼辦；下面先解釋密碼外洩查詢結果的含義，再說明處理次序。

這件事最怕的不是「查不到」，而是明明已經有跡象，你還以為「沒收到通知就等於沒事」。

關鍵要點

密碼外洩檢查，很多時候是先查電郵或帳戶有沒有出現在已知資料外洩事件裏。［1］［2］［3］

陌生登入提示、平台安全通知、撞庫異常和釣魚頁誤輸，都是高危信號。

一旦確認暴露，先處理電郵、密碼管理器和重用密碼的高價值帳戶。

只改目前網站的密碼通常不夠，關鍵是把同一組密碼用過的地方一併更換。

開啟 MFA、停止重用密碼、檢查近期登入紀錄，往往比「只改一次密碼」更重要。

哪些跡象代表你應該立即查一次？

1. 收到平台外洩通知

這是最直接的信號。只要服務商通知資料事件涉及你的帳戶，就應該預設這個帳戶需要盡快處理。

2. 收到陌生登入提示

如果你看到來自陌生地區、陌生裝置或異常時間的登入，很可能已經有人在嘗試你的密碼。

3. 你剛在可疑頁面輸入過密碼

例如釣魚電郵、假登入頁、偽裝抽獎頁。這時即使平台本身沒有外洩，你也應該把它視為「登入憑證已暴露」來處理。如果這正是你剛遇到的情況，也可以一起看誤按釣魚連結後的止損步驟。

4. 你一直重用同一組密碼

即使目前還未看到明顯異常，重用本身就代表一處出事，其他地方也會受影響。如果你已經在想「到底甚麼時候應該主動改密碼」，也可以一起看密碼應該多久改一次？別再機械式定期改，先抓這 5 種真正該改的時刻。

如何檢查密碼有否外洩？先查哪三類資訊來源

1. 帳戶外洩查詢服務

Have I Been Pwned 可以按電郵查詢已知外洩事件；Mozilla Monitor 也提供類似的個人曝光檢查。［2］［3］這類工具的價值，是幫你確認「這個電郵有沒有出現在已知外洩資料裏」。

2. 瀏覽器或帳戶安全檢查

Google Password Checkup 和 Google 帳戶安全檢查會提示已儲存密碼是否太弱、是否重用、是否出現在已知資料外洩中。［1］

3. 平台自己的安全中心

很多服務本身就會提供近期登入、裝置紀錄、雙重驗證狀態和異常提示。這一步雖然最樸素，但往往最能直接看到「有沒有人已經進來」。

發現外洩後，應按甚麼次序處理？

次序	先做甚麼	為甚麼
1	先改主電郵密碼	電郵常是其他帳戶的重設入口
2	檢查密碼管理器和雲端帳戶	一旦失守，連帶面最大
3	處理所有重用同一密碼的網站	防止撞庫擴散
4	開啟 MFA 並查看近期登入紀錄	補上第二道門，順手確認有沒有陌生裝置

收到外洩消息後，先開啟服務的官方應用程式，或自行輸入已知官網地址，再採取行動。不要透過消息內的登入連結驗證消息本身。到帳戶安全記錄中對照帳戶、事件及裝置；複製的標誌或催促處理的標題都不算證據。陌生登入值得核查，但地點異常亦可能來自 VPN 或流動網絡，不能單憑地點認定另一個人登入。［4］

使用可信裝置恢復帳戶。把受影響密碼及所有重用密碼改成不同的密碼，再檢查已登入裝置與工作階段。登出陌生工作階段，必要時使用服務提供的「登出所有裝置」功能；不要假定改密碼會終止全部工作階段。［4］［6］

例如 Google 支援分別查看及登出裝置工作階段。同一裝置可能有多個工作階段，應檢查所有陌生記錄，不能只刪除一個看來熟悉的裝置名稱。［4］［6］

檢查復原電郵、電話號碼、MFA 方法及獲准存取帳戶的應用程式。透過服務的官方設定移除未經你授權的變更與權限。電郵帳戶亦要檢查轉寄規則及篩選器：密碼更改後，攻擊者仍可能收到郵件。［4］

無法登入或復原資料被改時，使用官方帳戶復原流程，不要向承諾找回帳戶的陌生人付款。工作帳戶則透過已知渠道聯絡機構管理員。［4］

不要向陌生「外洩查詢站」提交真實密碼、驗證碼或復原碼。電郵外洩查詢與密碼暴露檢查是不同服務；HIBP 的電郵結果不會提供對應帳戶的密碼。某個密碼出現在外洩資料庫內，不能指出哪個帳戶曾使用它；電郵被收錄亦不能證明目前密碼已被掌握。應透過服務自己的安全工具判斷哪些資料受影響。［5］

沒有查詢結果不代表安全：HIBP 只涵蓋已知記錄，不能涵蓋所有未被發現或公開的外洩。完成變更後，再查看帳戶安全活動及裝置清單，確認復原資料與 MFA 屬於你，核查新出現的陌生工作階段。成功登入只證明當時可以存取帳戶，不能證明所有未經授權的存取路徑都已清除。［4］［5］［6］

「查到外洩」只有一種結果嗎？

不是。你可能遇到的是：

電郵出現在某次資料事件裏，但密碼是否仍有效未知；
某個平台明確提示密碼已出現在已知外洩庫中；
只是高風險懷疑，例如你剛把密碼輸進釣魚頁；
瀏覽器告訴你密碼被重用，而且曾出現在已知外洩中。［1］［2］［3］

這些情況嚴重程度不同，但共同點是： 一旦牽涉核心帳戶或重用密碼，就不應該拖。

我的建議：以後別只查「有沒有外洩」，還要查「是不是還在重用」

很多人做完一次外洩查詢就放心了。但更大的隱患常常是：你查到一個暴露帳戶，卻沒有順手處理同一組密碼還在哪些地方繼續使用。

你可以把這篇數碼私隱保護指南作為更完整的排查清單，順手檢查帳戶、裝置、識別碼和資料經紀人暴露面。

如果你已經決定收口密碼習慣，也可以接着看密碼管理器的風險與正確用法。

總結

如何檢查密碼有否外洩，最常見做法是查電郵、帳戶或瀏覽器儲存密碼是否出現在已知外洩事件裏。［1］［2］［3］
平台通知、陌生登入、釣魚誤輸和長期重用密碼，都是應該立即排查的信號。
一旦確認有風險，先守住主電郵、密碼管理器和所有重用密碼的高價值帳戶。
只改一個網站的密碼通常不夠，關鍵是把整條重用鏈一併切斷。

常見問題（FAQ）

可以直接查到「我的密碼原文有沒有外洩」嗎？

很多公開工具更常查的是電郵或帳戶有沒有出現在已知外洩事件裏，而不是直接展示你的密碼原文。［2］［3］

收到陌生登入提示，但還未被盜號，要不要改密碼？

先直接開啟官方服務核實提示，不要點擊通知內的陌生連結。如確有不認識的登入，應及時更換密碼並檢查仍有效的工作階段。

查到電郵出現在外洩事件裏，就一定代表帳戶現在還能被登入嗎？

不一定，但只要涉及重要帳戶或密碼重用，仍然應盡快更換並檢查登入紀錄。

只改這個網站的密碼就夠嗎？

不夠。如其他帳戶重用了同一組密碼，亦應逐一更換，為每個服務設定不同的強密碼，先處理主電郵及高風險帳戶。

開了雙重驗證，還需要做外洩檢查嗎？

需要。MFA 很重要，但不能取代你對外洩和重用風險的處理。

最值得先保住的帳戶是哪幾個？

主電郵、密碼管理器、Apple ID / Google 帳戶，以及金融和工作協作帳戶。如果你想按「出事後先做甚麼」來排優先級，也可以接着看你的資料外洩了！該怎麼辦？（急救指南）。

免責聲明

本文僅供一般帳戶安全教育參考，不構成對任何具體外洩查詢服務、瀏覽器或平台功能的完整性承諾。

來源

Google Safety Center, Security Settings and Tools for Your Protection: https://safety.google/intl/en_us/settings/security-settings/
Have I Been Pwned: Check if your email address has been exposed in a data breach: https://haveibeenpwned.com/
Mozilla Monitor, How it works: https://monitor.mozilla.org/how-it-works
Google Account Help, Secure a hacked or compromised Google Account: https://support.google.com/accounts/answer/6294825?hl=en
Have I Been Pwned, Frequently Asked Questions: https://haveibeenpwned.com/FAQs
Google Account Help, See devices with account access: https://support.google.com/accounts/answer/3067630?hl=en

Sources checked 2026 年 10 月 9 日。

延伸閱讀：

如何檢查密碼有否外洩？先看 4 個訊號，再按次序保護高風險帳戶