数据库被脱库，为什么密码会泄露？

[zinplus]

最近华住酒店数据库泄露，但是看到暗网上售卖的信息居然还包括账户的登陆密码。 联想到以前几次脱库，比如之前网易 163 邮箱被脱，也是让大家更改密码。 可是身份信息也就罢了，为什么登陆密码也会泄露呢？ 难道现在还有明文储存密码的公司吗？

可能这个问题有点蠢，请问有了解的 v 友吗。

[bubuyu]

因为很多人都用同样的密码

[p2pCoder]

暴力破解

[nl101531]

据说弱密码 000000，123456，666666，888888，这四个密码可以破解中国 30%的银行卡密码。

[f2f2f]

社工库啊

[A555]

简单的哈希 彩虹表对照就能知道，然后就是撞库

[yksoft1]

你看了放出来那些验证数据么？没加盐。

[Tianao]

「难道现在还有明文储存密码的公司吗」
是的，还有很多。

不过包括本案在内的大多数密文密码遭解密都是依靠彩虹表、反哈希运算实现的。

[R18]

@nl101531 弱密码是禁止设置的

[NotNil1]

@R18 弱密码虽然是禁止设置的，但是下发的卡初始密码可能就是这些，比如农村养老金，补助发放，保险缴款等银行卡，初始密码就是 123123，或者 123456，你不改其实也没有明确限制你不可用，所以还是客观存在的。

[indev]

再怎么说也要简单加密一下吧，还是用第三方登录会方便些。
另外推荐一个密码管理的小东东：(Lesspass)[https://github.com/lesspass/lesspass]，不是那个 Lastpass。还有它的 (cli)[https://github.com/lesspass/lesspass/tree/master/cli] 也挺好用，再也不用担心使用弱密码了，也不用费心什么同步的问题

[solomensec]

是个人信息泄漏，不是密码，密码有什么用。

[WuwuGin]

很多国产框架对密码的处理就是 md5

[yoqu]

因为有门学科叫做社会工程学

[ClutchBear]

因为常用的密码的 md5 都被算出来了,
根据这个 md5 值反向查找就行了啊.

[xuanbg]

很多人(包括我自己)在各大网站的密码都是一样的，如果有个网站被脱了裤，不幸密码还是明文存储的，那么别的网站的密码也就泄露了。

[helionzzz]

当然也有可能这个账户就是一个新建的

[lasuar]

你奢望酒店，饭店，便利店，超市有多安全的 IT 服务？

[MonoLogueChi]

拖库，撞库，彩虹表

[UnluckyNinja]

记得好像密码泄露是说数据库本身后台的密码？

[Hconk]

mysql5 没加盐，弱密码彩虹表可破