凌晨两点，操作我盯着屏幕上那封“您的不当办账户已在异地登录”的邮件，后背发凉。信息泄漏不是操作黑客多高明，纯粹是不当办我自己手贱——在公共WiFi下点了“记住密码”，还顺手把验证码截图发给了“客服”。信息泄漏三分钟后，操作银行卡里的不当办钱像退潮一样消失了。

这种事儿，信息泄漏八成以上都是操作操作不当惹的祸。别急着骂骗子狡猾，不当办先低头看看自己是信息泄漏不是那个递刀的人。

密码重复用是操作头号死穴。我在三个平台用同一个密码，不当办以为没人闲得慌去撞库。信息泄漏结果某个小论坛数据泄露，黑客拿着我的邮箱和密码挨个试，支付宝、微信、网银，一路畅通无阻。那感觉就像家里只锁了道木门，贼一推就开。

发现泄漏的瞬间，别慌着删聊天记录。第一步是断网——物理断开，拔网线或者开飞行模式。这能阻止对方继续远程操作你的设备。我朋友当时还傻乎乎地回邮件质问对方，结果暴露了自己的备用手机号，被二次诈骗。

第二步，立刻改密码，但别用同一台设备改。借邻居的手机或者跑去网吧，优先改邮箱密码，因为它是所有账号的“总钥匙”。改的时候别图省事，新密码至少十二位，大小写字母加符号混着来。我知道你记不住，那就用密码管理器，别用脑子硬扛。

第三步最容易被忽略：检查关联设备。登录微信和支付宝的设置页面，把那些“已登录设备”全部踢下线。我那次泄漏，对方就是靠着我之前平板上的自动登录，隔空翻走了通讯录，拿我照片去P图敲诈。

做完这些，才轮到报警和挂失。但说句实在话，追回钱的概率不高，尤其是小额。银行客服会机械地告诉你“配合调查”，可那笔钱早被拆成几十笔转走了。与其指望追赃，不如花半小时把“免密支付”全关掉，把单日限额调低。

还有一个反直觉的操作：泄漏之后，别急着注销账号。有些平台注销后，历史数据反而会保留在备份里，而且新注册的账号更可能触发风控。保持账号活跃，然后去“账号安全中心”开启登录保护，这才是正解。

最扎心的是，很多人栽在“不怕一万”上。我同事觉得手机丢了才危险，结果他手机没丢，倒是他钓鱼邮件点得勤快。那种写着“您的快递被扣”的短信，他连链接都懒得看就戳进去，输完身份证号还念叨“这快递公司真麻烦”。

说到底，技术漏洞补得再快，也追不上人手滑的速度。每次输入密码前，停两秒问自己：这页面是真的吗？这WiFi靠谱吗？这链接非点不可吗？就这两秒，能拦住八成灾难。

现在，我改了所有密码，买了物理密钥，还把手机验证码设成“勿截图”。代价是每次登录都要插一下USB，麻烦得要命。但比起半夜爬起来挂失银行卡，这点麻烦，值。