重复密码行为的持续性及其对凭据填充攻击的放大效应研究

摘要

尽管近年来网络安全意识显著提升，大规模数据泄露事件频发，但用户在多个在线账户间重复使用相同或仅做微小变体的密码行为仍普遍存在。本文基于2025年一项针对美国用户的实证调查，系统分析了重复密码行为的成因、技术风险及防御策略失效机制。研究指出，记忆负担、对密码管理器的误解、安全疲劳以及对多因素认证（MFA）可靠性的过度依赖是主要驱动因素。在此背景下，凭据填充（Credential Stuffing）攻击借助自动化工具与暗网泄露数据库，以极低成本实现跨平台账户接管。生成式人工智能进一步优化了鱼叉式钓鱼邮件的个性化程度，而会话令牌黑市的成熟使攻击链缩短。本文通过构建攻击模拟实验，量化重复密码对攻击成功率的放大效应，并提出从终端用户、服务提供方到监管层面的多层次缓解框架。特别强调：MFA并非万能，若底层凭证可被凭据填充结合中间人攻击（AiTM）绕过，则其防护价值将大幅削弱。最后，本文定义三项可衡量的安全改进指标：密码唯一率、无密码登录启用比例、异常登录检测平均发现时间，为后续评估提供基准。

关键词：重复密码；凭据填充；多因素认证；密码管理器；Passkey；FIDO2；安全行为；生成式AI；会话令牌劫持

1 引言

自2009年RockYou数据泄露事件首次公开暴露数千万明文密码以来，学术界与工业界反复警示用户避免在不同服务间复用密码。然而十六年过去，这一基本安全实践仍未被广泛采纳。2025年8月发布的一项覆盖全美代表性样本的调查显示，近48.7%的受访者承认在多个账户中使用相同或仅做末尾数字递增的密码（如“Password1”、“Password2”）。该比例在65岁以上人群和年收入低于3万美元群体中分别升至62%与58%。这一现象与勒索软件泛滥、国家级APT攻击常态化、以及主流媒体对数据泄露事件的高频报道形成鲜明反差。

重复密码的核心风险在于其将多个系统的安全边界耦合于单一凭证之上。一旦任一服务发生数据泄露，攻击者即可利用泄露的用户名-密码对，在其他平台发起凭据填充攻击。此类攻击依赖自动化脚本批量测试数千个网站的登录接口，成功率高度依赖用户密码复用率。据Akamai 2024年报告，全球每分钟发生超过100亿次凭据填充尝试，其中约1.2%成功导致账户接管（ATO），远高于传统暴力破解的效率。

更值得警惕的是，当前防御体系存在结构性盲区。一方面，用户普遍误认为启用短信或认证器应用的MFA即可完全抵御账户盗用；另一方面，服务提供方常将登录失败次数限制作为主要防护手段，却忽视成功登录后的异常行为检测。与此同时，生成式AI正被用于构造高仿真度的钓鱼邮件，诱导用户在伪造登录页输入凭证，进而捕获MFA令牌或会话Cookie。而暗网中已出现成熟的会话令牌交易市场，使得攻击者无需破解密码即可直接接管活跃会话。

本文旨在系统剖析重复密码行为的持续性根源，量化其对现代网络攻击链的放大作用，并提出技术上可行、行为上可接受、监管上可落地的综合缓解路径。全文结构如下：第二节回顾相关工作与背景；第三节分析用户行为成因；第四节建模凭据填充攻击并展示实验结果；第五节讨论MFA的局限性与绕过机制；第六节提出三层防御框架；第七节定义可衡量指标；第八节总结。

2 背景与相关工作

2.1 凭据填充攻击机制

凭据填充是一种自动化攻击形式，攻击者利用从历史数据泄露中获取的用户名-密码对（通常来自HaveIBeenPwned等公开数据库），通过脚本在目标网站的登录接口进行批量尝试。与暴力破解不同，凭据填充不依赖字典或规则生成密码，而是直接复用真实用户曾使用的有效凭证，因此绕过复杂度检测。

典型攻击流程包括：（1）收集泄露凭证集；（2）清洗并标准化格式；（3）部署分布式代理IP池；（4）使用工具如OpenBullet、Sniper或自定义Python脚本发起请求；（5）解析响应判断登录是否成功；（6）提取有效会话令牌或执行后续操作。

2.2 密码复用的实证研究

多项研究表明密码复用具有高度普遍性。Das et al. (2014) 分析了110万用户在两个不同网站的行为，发现43%的用户使用完全相同的主密码。More recently, Ur et al. (2022) 通过实验室模拟发现，即使提供免费密码管理器，仍有35%的参与者选择手动复用密码，主因是“担心忘记主密钥”或“觉得管理器不安全”。

2.3 MFA的局限性

尽管NIST SP 800-63B推荐使用FIDO2/WebAuthn等强MFA方案，但现实中短信验证码（SMS OTP）仍占主导。此类MFA易受SIM交换攻击、SS7漏洞及钓鱼中间人（AiTM）攻击影响。例如，Evilginx2等反向代理工具可透明转发用户与真实网站间的通信，同时记录凭证与MFA响应，实现完全会话劫持。

3 用户重复密码行为的成因分析

基于2025年调查数据（n=2,150），我们识别出四大核心动因：

3.1 记忆负担

平均每位互联网用户拥有97个在线账户（Dashlane, 2024），要求记忆近百个高强度唯一密码远超人类认知极限。78%的受访者表示“记不住那么多不同密码”，尤其在非高频使用的服务（如政府门户、医疗平台）上倾向复用。

3.2 对密码管理器的误解

尽管Bitwarden、1Password等工具提供端到端加密与零知识架构（即服务商无法访问用户数据），但42%的用户仍担忧“把所有密码放在一个地方更危险”。另有29%认为“浏览器自带保存功能已足够”，未意识到其缺乏跨设备同步与安全审计能力。

3.3 安全疲劳（Security Fatigue）

频繁的安全提示、复杂的设置流程、以及“狼来了”式的威胁宣传导致用户产生心理倦怠。61%的受访者承认“看到安全警告时直接点‘稍后再说’”，尤其在移动端操作时更倾向快速完成而非审慎验证。

3.4 对MFA的过度乐观

57%的用户认为“只要开了双重验证，密码弱一点也没关系”。这种认知偏差忽略了MFA可被绕过的现实，尤其是在钓鱼或会话劫持场景下。

4 凭据填充攻击的实验建模与量化分析

为量化重复密码对攻击成功率的影响，我们构建了一个可控实验环境。

4.1 实验设计

数据集：从公开泄露库中提取10,000组真实用户名-密码对（经脱敏处理）。

目标平台：部署5个独立Web应用（A–E），均使用标准OAuth 2.0登录流程。

用户分组：

组1（n=2,000）：在所有平台使用相同密码；

组2（n=2,000）：在各平台使用唯一密码；

组3（n=2,000）：使用微小变体（如加数字后缀）。

攻击模拟：使用自定义Python脚本模拟凭据填充，速率限制为每IP每秒5次请求，使用Tor网络轮换出口节点。

4.2 攻击脚本示例

import requests

import time

import random

from torpy.http.requests import TorRequests

# 加载泄露凭证

with open('pwned_credentials.txt') as f:

creds = [line.strip().split(':') for line in f]

target_urls = [

'https://app-a.example.com/login',

'https://app-b.example.com/login',

# ... 其他目标

]

headers = {'User-Agent': 'Mozilla/5.0'}

def attempt_login(url, username, password):

data = {'username': username, 'password': password}

try:

with TorRequests() as tor_requests:

with tor_requests.get_session() as sess:

resp = sess.post(url, data=data, headers=headers, timeout=10)

# 判断是否登录成功（根据响应内容或Cookie）

if 'dashboard' in resp.text or 'sessionid' in resp.cookies:

return True

except Exception as e:

pass

return False

success_count = 0

for user, pwd in creds[:1000]: # 测试前1000组

for url in target_urls:

if attempt_login(url, user, pwd):

success_count += 1

print(f"[+] Success on {url} for {user}")

time.sleep(0.2 + random.uniform(0, 0.1)) # 模拟人类延迟

print(f"Total successful takeovers: {success_count}")

4.3 结果

组1（完全复用）：攻击成功率 89.3%（即89.3%的用户至少在一个非原始泄露平台被接管）；

组3（微小变体）：成功率 67.1%（攻击者通过常见变体规则如+1, +!等可覆盖大部分）；

组2（唯一密码）：成功率 2.4%（主要因个别用户使用弱密码被暴力破解）。

结果表明，重复密码使凭据填充攻击效率提升近40倍。

5 MFA并非万能：绕过机制分析

5.1 中间人钓鱼（AiTM）

攻击者搭建与目标网站外观一致的钓鱼站点，通过SSL证书（Let's Encrypt免费获取）建立HTTPS连接。当用户输入凭证并提交MFA响应时，攻击者实时将请求转发至真实网站，获取有效会话Cookie后立即返回伪造的“登录成功”页面。整个过程用户无感知，且MFA日志显示“正常登录”。

5.2 会话令牌黑市

一旦获得有效Session ID或JWT令牌，攻击者无需密码即可维持访问。2024年，暗网论坛如BreachForums出现专门交易“活跃会话令牌”的板块，价格从5（社交媒体）到200（银行账户）不等。由于多数服务未对会话进行设备绑定或地理位置突变检测，此类令牌可长期有效。

5.3 MFA疲劳攻击

针对推送通知类MFA（如Microsoft Authenticator），攻击者持续发起登录请求，诱使用户误点“批准”。2023年Uber breach即由此导致。

上述机制表明，若底层密码可被凭据填充获取，MFA仅增加攻击成本，而非不可逾越的屏障。

6 多层次防御框架

6.1 终端用户层

推广密码管理器：强调其端到端加密与零知识特性。可集成生物识别解锁，降低主密码记忆负担。

教育重点转移：从“设强密码”转向“设唯一密码”，并明确告知MFA局限性。

启用Passkey：基于FIDO2标准的无密码登录，使用公钥加密，私钥存储于设备安全芯片，彻底消除密码复用可能。

6.2 服务提供方层

登录失败速率自适应：不仅限制失败次数，更应基于IP、设备指纹、行为序列动态调整阈值。

设备指纹与风险评分：结合User-Agent、屏幕分辨率、时区、输入节奏等构建设备画像，对新设备登录强制MFA。

检测异常成功登录：例如，同一账户在5分钟内从纽约与东京成功登录，应触发二次验证或冻结。

实施凭据泄露检测：在用户注册或修改密码时，调用HaveIBeenPwned API检查是否存在于已知泄露库。

示例代码（Flask后端集成HIBP）：

import hashlib

import requests

def is_pwned(password):

sha1 = hashlib.sha1(password.encode('utf-8')).hexdigest().upper()

prefix, suffix = sha1[:5], sha1[5:]

resp = requests.get(f'https://api.pwnedpasswords.com/range/{prefix}')

hashes = {line.split(':')[0] for line in resp.text.splitlines()}

return suffix in hashes

@app.route('/register', methods=['POST'])

def register():

pwd = request.form['password']

if is_pwned(pwd):

return "Password found in breach database. Please choose another.", 400

# ... proceed

6.3 监管层

强制“重复密码提示”：对金融、医疗、政务等关键服务，要求在用户尝试使用已泄露或高复用风险密码时弹出明确警告。

推动Passkey互操作标准：通过立法鼓励平台支持FIDO2，减少对传统密码的依赖。

7 可衡量的安全改进指标

为客观评估干预措施效果，建议采用以下指标：

密码唯一率（Password Uniqueness Rate, PUR）：用户在所使用服务中设置唯一密码的比例。可通过匿名化遥测数据估算。

无密码登录启用占比（Passkey Adoption Rate, PAR）：已注册并至少使用一次Passkey登录的用户比例。

异常登录检测平均发现时间（Mean Time to Detect Anomalous Login, MTD-AL）：从异常登录发生到系统告警的平均时长，目标应<5分钟。

这些指标可纳入企业安全KPI，亦可供监管机构进行横向比较。

8 结语

重复密码行为的顽固性反映了安全设计与人类认知之间的根本张力。技术解决方案如密码管理器与Passkey虽已成熟，但普及受阻于认知偏差与交互摩擦。与此同时，攻击者正利用AI与自动化工具不断降低凭据填充的门槛。本文通过实证数据与攻击建模，揭示了重复密码如何成为现代账户接管攻击的关键放大器，并指出MFA在缺乏上下文感知时的脆弱性。

有效的缓解不能仅依赖用户自律，而需构建“默认安全”的生态系统：服务端主动检测风险、客户端无缝集成无密码认证、监管层设定最低防护基线。唯有如此，才能将“不要重复使用密码”这一古老忠告，从道德呼吁转化为可执行、可验证、可持续的安全实践。未来工作将聚焦于Passkey在老年用户群体中的可用性优化，以及基于联邦学习的跨平台异常登录协同检测机制。

编辑：芦笛（公共互联网反网络钓鱼工作组）