账号泄露查询：免费入口和付费报告差在哪

免费入口能回答的问题只有一个：你这个邮箱在不在别人手里那份名单上。付费报告卖的是另外一回事，名单是谁的、什么时候被拿走的、除了邮箱还写了什么。所以账号泄露查询这件事，差距不在谁更准，而在于查到之后你能拿它做什么。

账号泄露查询的免费入口，走到哪一步就到头了

Have I Been Pwned 是最常被提起的那个，Mozilla 的 Monitor 背后用的也是它的数据。另外各大平台自己的安全中心、邮箱服务商的账号活动页，也能算免费入口，只是角度不一样：前者查你有没有被公开披露的事件波及，后者查你的账号最近有没有异常登录。两者不是替代关系。

免费版给的东西其实不算少：命中没命中、命中哪起事件、大概哪一年、泄露的字段类别是邮箱还是密码还是手机号住址，有些还会脱敏显示一小截密码。但这些数据基本来自已经公开披露过的事件，靠研究者和志愿者整理，新爆出来的库要等一阵才进索引，快慢没个准。查不到不等于没泄，这句话得记住。

付费报告贵出来的部分，主要买三样

一是数据源。暗网论坛、加密聊天群、黑产交易站这些地方流出来的数据，免费站碰不了，成本和法律风险都摆在那儿。付费服务会持续爬取，再人工核实，覆盖面确实不一样，这部分的差别挺大。

二是时间维度。免费入口是一次性的，你今天查完，明天新库爆出来你并不知道。付费多是订阅制，出现新事件主动告警，这个对管账号的人价值最大。价格按年算比单次查询贵不少，值不值看你要查几次，也要看具体服务商怎么定价，以官方页面说明为准。

三是证据和能落地的东西。字段级样本、核实过的来源、影响范围、处置建议，企业版还会给批量查询接口，方便把员工邮箱一次过一遍。这些免费站大多给不出来。

有些东西两边都查不到，别惦记

完整密码原文、社工库全量数据，正规渠道不会卖给你，卖给你的自己也在违法。所以任何页面写着“输入邮箱即可查看完整密码”的，先当骗局处理。所谓“覆盖全网数据”听听就好，具体覆盖哪些源，以服务商或官方页面说明为准，别信宣传语。

查询站本身也可能是个坑

只填邮箱，别填密码。就这么一条，能做到的人不多。有些页面搞个“验证你的密码是否已经泄露”，输入框让你贴原密码，这不叫查询，这叫白送。还遇到过要你扫码授权、读通讯录、装浏览器插件的，一律跳过。用干净的浏览器查，或者干脆用不常用的号去查。

域名邮箱和企业账号，这块比个人账号要紧

站长和运维该关注的不是自己那一个邮箱。域名邮箱、客服号、财务号、后台邀请链接，一个号被撞开，损失是成片的。做法是把邮箱账号导出来批量查，免费站也有批量入口，注意别把对方限流打爆；顺手翻一遍离职人员的账号还在不在，很多事故就是从这儿起的。

数据库那边也连着。mysqldump 导出的 .sql 别随手丢在网站根目录或者 public 下面，那是爬虫最先摸到的地方。导出文件里的手机号、邮箱该脱敏就脱敏，账号泄露查询是同一件事的另一头，一头在查，一头在别再泄，别只顾前面那头。

查到之后按顺序做，别乱

顺序挺重要。先改密码，而且不只是这一个，同一个密码用过的全改。然后开两步验证，短信验证码不如 TOTP 验证器或者硬件密钥，SIM 卡被补的案例不算少。

接着清第三方授权和登录会话，把不认识的设备踢掉。最后一条最容易被漏掉：查邮箱的自动转发规则、过滤器、白名单。攻击者拿了邮箱想常驻，往往就是靠一条转发规则把你后面所有邮件抄走，人还看不出异常。

什么时候值得花钱

个人一年查一两次免费的足够。真正值得付费的是这几种情况：手上管着几十上百个账号、做电商或者支付相关、企业要过合规审查、需要持续监控而不是查完就忘。如果只是想看看“我密码泄露成什么样了”，那没必要花这个钱，正规渠道本来也不给你看原文。

留个能照着做的清单：查的时候只用邮箱不用密码；改的时候同密码全改，两步验证换成验证器；清授权、清会话、清转发规则；域名邮箱和企业账号批量过一遍；然后隔一段时间再查一次。免费的够用就用免费的，钱花在持续监控和批量查询那一步上，不花在“看原文”上。