2021年，何访江苏南通的问别季某用自己前女友的生日试了三次，登进了她的邮箱QQ邮箱。他没改密码，何访只是问别把收到的每一封工作邮件都转发到自己的另一个邮箱。三个月后，邮箱前女友发现客户突然不回复了，何访查了登录记录才知道怎么回事。问别季某最后被法院判了非法获取计算机信息系统数据罪，邮箱拘役四个月。何访

这事听起来像技术活，问别其实大部分邮箱入侵根本用不上什么黑客技术。邮箱你打开一个陌生人的何访邮箱，最直接的问别办法就是猜密码。很多人到今天还在用生日、邮箱手机号后六位、名字拼音加123。我在一个安全论坛上看到有人统计过，一万个泄露的邮箱密码里，将近三成是“姓名+出生年份”的组合。你甚至不用写脚本，手动试五六次就能进去一个。

有个做外贸的朋友跟我讲过一件事。他们公司有个业务员离职后，客户一直没续单。后来查出来，那个业务员用老板的邮箱密码——老板的密码是公司名加2018——登进去把客户邮件全删了。老板自己都不知道，因为邮箱设置的是客户端登录不提醒。这跟技术没半点关系，纯粹是密码太烂。

那如果密码猜不中呢？还有一条路：撞库。你在A网站注册的邮箱和密码泄露了，有人拿这套去试B网站、C邮箱。2019年有个叫“收藏家”的数据库泄露事件，包含几亿条邮箱密码组合。有人写个脚本，一晚上能跑几十万个邮箱。成功率不高，大概千分之几。但基数大，总有人中招。你如果各个平台都用同一个密码，那就是在给别人留后门。

再往下说，就是钓鱼。伪造一个登录页面，发邮件说“你的邮箱异常登录，请点击验证”。页面做得跟真的一模一样，你输入账号密码，那边就收到了。这种手法老套，但管用。我见过一个案例，某公司财务收到“老板”的邮件，让她点链接看一份合同。她点了，输了邮箱密码。第二天，公司账户被转走八十万。邮箱里存着所有供应商的付款记录和银行回单。

还有一种更隐蔽的：直接问。对，就是社交工程。你打电话给邮箱服务商的客服，冒充账号主人，说手机丢了、密保问题忘了。如果客服培训不到位，可能就帮你重置密码了。2008年的时候，有人用这招进了佩林（Sarah Palin）的私人邮箱，当时她正在竞选副总统。那人就是猜出了她的生日、邮编，然后回答密保问题“你在哪里遇到你丈夫”，答案在维基百科上都有。

说这些不是教你怎么干。恰恰相反，你知道了这些路径，就知道怎么防。密码别用生日，别一套走天下。看到“异常登录”的邮件，别点里面的链接，自己手动输网址去查。密保问题别选“母亲的名字”这种网上能搜到的。两步验证能开就开，哪怕手机丢了，也比邮箱被人翻个底朝天强。

我自己的邮箱密码是随机生成的，存在密码管理器里。两步验证绑了硬件密钥。听起来麻烦，但习惯了也就多按一下的事。你邮箱里有什么？银行账单、身份证扫描件、跟朋友的私密对话、工作合同。这些东西被人翻一遍，比丢钱包严重多了。钱包丢了最多损失现金，邮箱丢了，你可能连自己怎么被冒名的都不知道。

最后讲个真事。我认识一个做独立开发的，他的域名邮箱被人登进去，设置了自动转发。所有客户邮件都抄送一份给攻击者。攻击者用他的名义给客户发邮件，说“收款账号变更了”。客户打了五万美金过去，才发现不对劲。他查登录IP，来自罗马尼亚。他问我怎么防，我说你先把密码改了，然后开两步验证。他改了，但已经晚了。

邮箱这东西，平时不觉得重要，出事了才发现它是你数字身份的总钥匙。别等钥匙被人配了才想起来换锁。