什么是密码喷洒？
密码喷洒（亦称为密码喷洒攻击）是指攻击者使用常见密码试图访问一个域上的多个帐户。攻击者可以使用常见弱密码列表（例如 123456 或 password1）在一次攻击中访问数百个帐户。
如果网络犯罪分子成功获取了您的一个帐户的访问权限，他们将可以访问您的：
- 银行信息
- 信用卡详情
- 家庭住址
- 社会保障卡号
- 以及其他
密码喷洒与撞库
密码喷洒和撞库之间的主要区别在于，密码喷洒使用常见密码列表来访问一个域上的多个帐户，而撞库则是使用一组凭据来尝试访问多个域中的不同帐户。
撞库利用了许多人在多个帐户上使用相同登录凭据这一事实。这些通常是经过完全验证的凭据（用户名和密码），并且通常是作为数据泄露事件的一部分被泄露出来。
与撞库不同，密码喷洒攻击通常使用喷洒工具包（软件工具或单个程序的集合）从目录或公开来源中收集用户名开始。该工具包用于通过命令获取用户名，然后喷洒常见密码列表，以试图侵入帐户。
如何检测密码喷洒攻击
个人用户检测密码喷洒
使用多步验证: 通过多步验证 (MFA) 保护帐户，会在使用用户名和密码登录帐户时，额外要求提供另一种身份验证方式。同时，当有新设备尝试访问您的帐户时，您会收到通知。启用多步验证有助于检测密码喷洒攻击，因为当有人尝试登录您的帐户时，您将收到通知，要求提供另一种身份验证形式。如果您收到的警报并非由您触发，则您有可能正在成为密码喷洒攻击的目标。
暗网监视： 使用暗网监视服务保护您的数据将使您能够在您的任何凭据被泄露时收到通知。诸如 BreachWatch® 之类的暗网监视工具可监视暗网中是否存在被泄露的帐户，并即时提醒您以便您采取措施，通过立即更改密码来保护您的在线身份和数据。
企业用户检测喷洒密码
密切关注此类登录: 连续输入错误用户名通常是攻击的迹象。应确保您的 IT 团队密切关注公司登录信息，并在连续输入错误用户名时收到通知。
监视帐户锁定、身份验证尝试或登录失败情况的增加：: 密码喷洒有危险，但并非总会成功。应确保在发生登录失败时您收到通知。监视失败的登录尝试中是否存在模式。一两次连续登录失败可能并不总会引起警觉，但来自不同帐户的几次登录失败值得注意。
如何防范密码喷洒
企业用户防范喷洒密码
购买企业密码管理程序: 企业密码管理程序是可帮助 IT 管理员强制实施使用符合密码策略的高强度密码的工具。企业密码管理程序不仅可以有效地确保员工始终使用高强度的密码，而且还使得 IT 管理员能够轻松地在适用的情况下强制使用多步验证。
对员工进行网络安全教育: 在全公司范围内对所有员工进行有关密码喷洒危险、其他网络安全威胁以及使用更强密码必要性的教育。包括有关如何创建高强度密码、识别威胁以及员工如果觉得自己的某个帐户已泄露应该采取什么措施的信息。
限制登录尝试: 限制登录尝试有助于组织限制用户登录帐户时的尝试次数。例如，如果您将登录失败尝试次数限制设置为三次，在用户连续尝试登录失败三次后，他们的帐户将被锁定。之后他们登录帐户的唯一方法是寻求系统管理员的帮助，但前提是他们必须先验证自己身份。
个人用户防范密码喷洒
使用多步验证: 如前所述，多步验证要求提供额外的凭据才能登录到您的帐户，并在有人尝试登录时通知您。多样化的多步验证要求可以为您的在线帐户增加一层额外的安全保护。例如，不要仅使用基于时间的一次性密码 (TOTP)，还可以尝试对某些敏感帐户使用生物识别。
不要使用常见密码: 一些最常见的密码包括 password、love 等词语和顺序数字。为每个帐户创建唯一的复杂密码，并且不要重复使用密码。密码管理程序可以帮助您生成高强度的唯一密码，并安全地进行存储，这样您就不必自己记住所有密码了。
