2026 年最常用的密码是什么?

123456,连续第 11 年位居榜首。紧随其后的是 123456789、password 和 qwerty 这类键盘序列。

用一个复杂密码在所有网站上不行吗?

不行。任何一个网站泄露,这个密码就在所有网站上失效了。复杂度解决的是暴力破解,解决不了复用带来的连锁失守。

随机生成的情况下 16 位以上基本可以排除暴力破解。但长度只在随机的前提下有意义,「Password123456789」再长也是弱密码。

连续第 11 年,123456 稳坐榜首。这份榜单真正值得看的不是名次,而是它揭示的东西:人类的记忆力从来不是密码安全的可靠地基。

连续第 11 年,123456 稳坐最常用密码榜首。这不是新闻,新闻是它依然是第一。

每年这份榜单一出,评论区就是清一色的"这些人怎么这么懒"。但把责任推给用户是最省事也最没用的解释。

真正的问题是:一个普通人现在要管理 80 到 120 个账号。指望人脑为每个账号记住一串不重复的随机字符,这个要求从一开始就不成立。

弱密码本身不可怕,可怕的是复用。攻击链条是这样的:

这叫撞库(credential stuffing),是目前性价比最高的攻击方式 —— 不需要任何漏洞,只需要你在两个地方用了同一个密码。

第一,先查你有没有已经泄露的密码。 Have I Been Pwned 这类服务可以按邮箱查。查出来的立刻改。

第二,把复用切断。 不需要一次改完 120 个。按重要性排序:邮箱 > 支付 > 社交 > 其余。邮箱是所有账号的找回入口,它一旦失守,别的都是连带。

第三,别再试图用脑子记。 生成 + 保存交给工具,你只需要记住一个主密码。

常见的建议是用一句话的首字母加数字符号。这类方案的问题在于:一旦你把规则告诉了自己,你就会在所有账号上复用这个规则。规则本身成了新的单点。

真正随机的密码之所以安全,恰恰因为它不可记忆 —— 这不是缺点,是它的定义。