密码管理器泄露后的密码轮换策略

LastPass遭受入侵、用户加密保险库被盗已近一年。尽管我已将现有及新账户迁移至其他密码管理器，但一直拖延更换现有账户密码。就像捂住耳朵拒绝听从父母建议的孩子一样，我以“主密码足够长”自我安慰——但我知道许多人面临同样困境。

近期有证据表明攻击者已破解用户保险库并开始窃取加密货币，这最终促使我采取行动。面对数百个累积账户，我意识到无需一次性处理所有账户：不同账户对我和攻击者的价值不同。因此我制定了优先级清单，这比逃避问题有效得多。以下分享我的思考过程和优先级列表，希望能推动更多人加强个人安全。

通用注意事项

导出当前密码管理器备份
存储在安全位置以备不时之需
更换邮箱密码
邮箱常用于密码找回
更换移动运营商密码
设置携号转网PIN码（若运营商支持），降低SIM交换攻击风险
更新所有金融账户密码
- 按资金量降序处理
- 投资、银行、信用卡账户优先
- 加密货币：若种子短语或钱包密钥暴露，需转移至新钱包
轮换暴露的私钥（如SSH/GPG/TLS）
- 优先处理未加密或加密密码同步存储的密钥
- 需撤销密钥签名并从所有系统删除SSH密钥（最繁琐的步骤）
其他关键账户（可能造成身份冒用的场景）
- 身份提供商：Apple/Github/Facebook/Google/Microsoft等单点登录平台
- 云基础设施：Digital Ocean/AWS/Azure
- DNS注册商：Cloudflare/GoDaddy/Namesilo
- 代码仓库：Github/Gitlab
- 文件备份：Dropbox/Backblaze
- 远程管理工具：Teamviewer
- 购物平台：Amazon
- 社交媒体
彻底删除LastPass账户（若已完成迁移）
虽无法挽回已泄露数据，但能减少未来攻击面

最终执行深度取决于个人风险承受能力。关键在于采用系统化方法而非盲目处理，通过优先级排序将庞大任务转化为可管理的安全升级过程。