玻璃门怎么知道我的密码是..。在其他无关的网站上？

Question

我刚试着登录到玻璃门，收到了这样的消息：

我们暂时取消了您的帐户。我们已经确认您的密码与您在一个不相关的网站上使用的密码相匹配，该网站经历了安全漏洞。

我检查了这里，我唯一参与的是“黑客论坛”入侵--一个我的密码与我经常使用的密码完全不同的论坛，因为.这是黑客论坛，我不相信它。

这里有什么可疑的事吗？玻璃门怎么会知道这个？

Answer 1

我认为有三种可能性：

• 玻璃门知道一个haveibeenpwned.com不知道的漏洞。
• 玻璃门说的不是实话。也许他们只是发现你的电子邮件是非法的，而不是你的密码。这可能是一个诚实的错误，或者他们想让它听起来更严肃和紧迫，来证明他们强迫你做的额外工作是合理的。
• 您的内存是错误的，您实际上在某个时候使用了相同的密码(不一定是现在)。

找出哪一个的唯一方法就是问玻璃门。

Answer 2

Glass闭门很可能是在积极主动地做那些坏蛋们所做的事情，先发制人地捕获密码重用并保护您的帐户。

其他被泄露的网站的密码有时会被公开泄露(无论是以明文形式，还是以一种存储能力弱、容易破解的形式)。看起来Glass闭门已经检查过这样的泄密，并将其中至少一个与您的帐户相关联(可能是通过在泄密中搜索您的电子邮件地址，然后检查该泄密中的密码是否与您的Glassdoor密码相匹配)。

通常，你可以使用像我曾被普华这样的网站来检查哪些泄密(如果有的话)包含了与Glassdoor一起使用的电子邮件地址。但听起来似乎不是这样，所以Glassdoor可能已经获得了HIBP尚未泄漏的信息。

另外，由于HIBP本身并不提供密码，Glass闭门唯一能够做到这一点的方法就是直接获取公开泄密信息，并执行相关操作。正如安德斯所说，他们有可能直接或从另一个来源获得它。

从表面上看，玻璃门在这里做了一件好事。坏的行为者知道用户经常在不同的站点上共享相同的密码，所以他们下载了公共漏洞，然后在其他常见的站点上尝试那些电子邮件/密码组合。玻璃门对此采取了积极的对策。这对用户安全是有利的--也是他们知道自己在做什么的好迹象。