你可能用 LastPass 很多年了，也聽過它被駭的新聞。問題是都過這麼久了，現在要換掉嗎？裡面的密碼需要全部改嗎？
先講結論：2022 年被偷走的是整份保險庫的備份，已經被拿走的資料沒辦法收回，之後改主密碼也影響不到它。如果你在 2022 年底之前就有 LastPass 帳號，建議先判斷自己的風險高低，再把重要網站的密碼換掉，加密貨幣和信用卡要另外處理。
要換工具的話，我首推 NordPass，它能直接匯入 LastPass 的資料，下面也整理了搬家步驟。
LastPass 2022 年發生什麼事？
LastPass 在 2022 年先後被入侵兩次，第二次才拿走用戶資料。依照 LastPass 官方公告與英國資訊委員辦公室（ICO）的調查，經過如下：
- 2022 年 8 月：一名工程師的公司筆電被入侵，駭客進到開發環境，偷走部分原始碼和內部技術文件。這次沒有拿到用戶資料。
- 2022 年 8 月 12 日～10 月 26 日：駭客利用第一次拿到的資料，鎖定一名有權限的資深工程師。對方家用電腦上的第三方影音軟體有漏洞，被植入鍵盤側錄程式，主密碼和雲端備份的存取金鑰都被拿走。
- 2022 年 11 月 30 日：LastPass 公告雲端儲存服務出現異常存取。
- 2022 年 12 月 22 日：LastPass 公告駭客複製了客戶保險庫的備份。
- 2023 年 3 月 1 日：LastPass 公布完整調查結果，承認先前的說明不夠清楚。
被拿走的備份裡，哪些有加密、哪些沒有，整理如下：
| 被拿走的資料 | 有沒有加密 | 代表什麼 |
|---|---|---|
| 網站帳號、密碼、安全筆記、表單填寫資料（含存在保險庫的信用卡） | 有，AES-256 加密 | 要猜中你的主密碼才打得開 |
| 保險庫裡每筆資料的網址 | 沒有 | 駭客看得到你在哪些網站有帳號 |
| 姓名、Email、電話、帳單地址、登入時的 IP 位址 | 沒有 | 可以拿來寄釣魚信、打詐騙電話 |
| LastPass Authenticator 的驗證碼金鑰（另一個資料庫） | 有，但解密金鑰也一起被偷 | 用它當兩步驟驗證的人要重新設定 |
粗體代表沒有加密。LastPass 表示帳單用的完整信用卡號沒有存在這個雲端環境，但你自己存進保險庫的信用卡屬於第一列，主密碼被猜中就看得到。
資料被偷走，為什麼還有風險？
被拿走的保險庫是一份離線副本。駭客不用登入 LastPass，可以在自己的電腦上無限次猜你的主密碼，LastPass 也偵測不到。
事後才改主密碼，不會影響已經被拿走的副本。兩步驟驗證也擋不了這種離線破解，因為駭客根本不經過登入流程。
主密碼迭代次數是什麼？
LastPass 用一種叫 PBKDF2 的方法，把你的主密碼反覆運算很多次後才變成解鎖金鑰。運算的次數叫「迭代次數」，次數越多，駭客每猜一個密碼花的時間就越久。
問題出在舊帳號。LastPass 的預設次數是一路往上調的，但很多舊帳號沒有被自動升級：
| 帳號建立時間 | 當時的預設迭代次數 |
|---|---|
| 2012 年 6 月以前 | 1 次 |
| 2012 年 6 月～2013 年 2 月 | 500 次 |
| 2013 年 2 月～2018 年 2 月 | 5,000 次 |
| 2018 年 2 月以後 | 100,100 次 |
| 2023 年以後的新帳號 | 600,000 次 |
以安全研究員 Wladimir Palant 的估算，一般強度的主密碼在 500 次迭代下，用一張高階顯示卡大約一年就能猜中。主密碼短、迭代次數又低的帳號，等於門鎖很弱。
已經有人因此被偷錢
被破解的保險庫，最直接的用途是偷加密貨幣。很多人把錢包的種子詞（又叫助記詞，能還原整個錢包的 12 或 24 個英文單字）存在安全筆記裡，駭客解開後就能直接轉走資產。
- 2024 年 1 月：一起約 1.5 億美元的加密貨幣竊案，美國特勤局調查後認為駭客是破解了被偷的密碼管理器資料，受害者的裝置沒有被入侵的跡象。
- 2025 年 3 月：美國檢方查扣其中約 2,300 萬美元。法院文件沒有點名 LastPass，只寫是一家在 2022 年 8 月與 11 月發生兩次重大外洩的線上密碼管理器。
- 2025 年 12 月：區塊鏈分析公司 TRM Labs 追蹤到超過 3,500 萬美元的竊案與這次外洩有關，竊案一路持續到 2025 年。
LastPass 的立場是沒有看到確切證據證明這些竊案和它有關。不過被拿走的網址沒有加密，駭客看得出誰存了加密貨幣交易所或錢包網站，可以優先破解這些人的保險庫。
我的 LastPass 帳號屬於高風險嗎？
先看兩件事：帳號什麼時候建立，以及主密碼和迭代次數。
低風險：2022 年底之後才註冊 LastPass。被偷的是 2022 年的備份，你的資料不在裡面。
中風險：2022 年底前就有帳號，但同時符合這三點：主密碼 12 個字元以上、沒有在其他網站用過、迭代次數至少 100,100 次。破解難度很高，但存過的加密貨幣種子詞和信用卡仍建議處理。
高風險：2022 年底前就有帳號，而且符合下面任何一點：
- 主密碼少於 12 個字元，或是常見單字、生日、名字加數字這類好猜的組合。
- 主密碼在其他網站也用過。只要那個網站外洩過，駭客就能直接拿來試。
- 迭代次數低於 100,100 次，特別是 5,000 次以下。
高風險的人，要假設保險庫裡的內容已經外洩，把裡面所有密碼都當成需要更換。
怎麼查自己的迭代次數？
登入 LastPass 網頁保險庫，左側點「Account settings」（帳戶設定），在「General」分頁按下方的「Show Advanced Settings」（顯示進階設定）。「Password Iterations」欄位的數字，就是你目前的迭代次數：
如果數字低於 600,000，可以直接改成 600,000 再按「Update」儲存，這也是 LastPass 現在新帳號的最低值。改完會重新加密保險庫，但只保護之後的資料，已經被偷的那份副本還是當時的次數。
我需要做什麼？
LastPass 在 2022 年 12 月的公告說，只要用預設設定，就不需要採取任何行動。這句話只適用於 2018 年之後的設定，很多舊帳號從來沒被升級，所以不要只看這句話就放著不管。
依照上一段判斷出的風險，照這個順序處理：
- 換主密碼並調高迭代次數：主密碼改成 4～5 個不相關單字組成的長句，迭代次數調到 600,000。這保護的是之後的保險庫。
- 換掉重要帳號的密碼：照這個順序換，優先處理能拿來重設其他帳號、或直接碰到錢的：
- Email 信箱：多數網站忘記密碼都寄到這裡，信箱被盜等於其他帳號都危險。
- 網路銀行、證券、電子支付。
- 加密貨幣交易所。
- Apple、Google、Microsoft 帳號與雲端硬碟。
- 公司帳號、社群帳號。
- 處理加密貨幣：種子詞沒辦法更換，換密碼也沒用。如果 2022 年前把種子詞或私鑰存進 LastPass，請建立一個新錢包（產生新的種子詞），把資產轉過去，舊錢包不再使用。新的種子詞寫在紙上離線保存，不要再放進任何雲端服務。
- 處理信用卡：2022 年前存在保險庫裡的信用卡，高風險的人建議打電話請銀行換發新卡號。至少要開啟刷卡通知，定期看帳單有沒有不明交易。
- 重新設定兩步驟驗證：如果你把其他網站的兩步驟驗證金鑰或備用碼存在 LastPass，或用 LastPass Authenticator 產生驗證碼，請到各網站關掉再重新綁定，產生新的金鑰。設定方式可以參考另一篇兩步驟驗證是什麼。
- 處理安全筆記裡的其他資料：身分證、護照號碼、Wi-Fi 密碼、伺服器金鑰這類資料，能換的就換，不能換的要提高警覺。
- 檢查有沒有外洩：用外洩查詢工具看自己的 Email 出現在哪些外洩事件裡，處理方式可以閱讀個資外洩怎麼辦。
密碼很多換不完的話，先把第 2～4 項做完。其他不重要的網站，可以等下次登入時再順手換掉。
LastPass 還能繼續用嗎？
這是信任問題，沒有標準答案。先看 LastPass 事後做了什麼，以及受到哪些處分。
LastPass 表示事件後重建了開發環境、更換了所有外洩的金鑰與憑證，新帳號的迭代次數最低改成 600,000 次。不過官方安全常見問題頁仍把「保險庫網址欄位加密」列為未來計畫，也就是網址到現在還沒有全部加密。
處分方面，英國 ICO 在 2025 年 12 月對 LastPass 開罰 120 萬英鎊，認定它的安全措施不足，影響約 160 萬名英國用戶。美國的集體訴訟以 2,445 萬美元和解，其中 1,625 萬美元專門賠償加密貨幣損失；加拿大也有一件 300 萬美元的和解。
如果你決定留下，至少要做到這三件事：
- 換一組夠長、沒在別處用過的主密碼。
- 迭代次數調到 600,000 以上。
- 幫 LastPass 帳號開啟兩步驟驗證。網頁保險庫左側的「Security dashboard」（安全儀表板）會顯示「Multifactor Authentication」是否啟用，顯示 Inactive 就點右邊的「Activate」：
如果你不想再把密碼交給它，就換工具。換之前的重點是不要漏掉資料，也不要把匯出的檔案留在電腦裡。
要換的話，有哪些選擇？
NordPass：從 LastPass 換過來最省事
NordPass 是 NordVPN 母公司 Nord Security 推出的密碼管理器。我推薦從 LastPass 換過來的人用它，原因有四個。
主密碼的保護方式比較難破解。LastPass 被破解的關鍵在 PBKDF2 和偏低的迭代次數。NordPass 用 Argon2id 把主密碼轉成金鑰，這種演算法每猜一次都要佔用大量記憶體，駭客想用顯示卡大量平行猜密碼，成本會高很多。
資料在你的裝置上就先加密。NordPass 採用零知識架構，所有資料在你的裝置上加密後才上傳，NordPass 自己也看不到內容。保險庫用 XChaCha20 加密，這是比 AES 更新的加密演算法，安全強度同等級，NordPass 也是少數採用它的主流密碼管理器。
有第三方稽核。NordPass 通過資安公司 Cure53 的安全審核，也有 SOC 2 Type 2 和 ISO 27001 認證。這些是由外部單位檢查公司的資安管理流程，比只看廠商自己的說法可靠。
可以直接匯入 LastPass。在 NordPass 設定裡選「LastPass」，就能匯入 LastPass 的 CSV 檔，也可以登入 LastPass 帳號讓它自動帶入。搬家步驟在下一段。
另外，付費版內建的「密碼健康檢查」會列出太弱、太舊、重複使用的密碼，「資料外洩掃描」會檢查你的 Email 有沒有出現在外洩資料裡。剛從 LastPass 搬過來時，可以靠這兩個功能找出哪些密碼該先換。
免費版能存無限組密碼和通行密鑰，限制是同時只能在 1 台裝置保持登入，換到另一台裝置要重新登入。新註冊可以先免費試用 Premium 30 天，付費方案也有 30 天退款保證。
價格方面，台灣官網 2026 年 11 月黑五優惠的 2 年方案，Premium 換算每月 NT$39、Family（6 人）每月 NT$69，都多送 3 個月：
台灣與美國官網的個人方案整理如下：
| 方案 | 台灣官網 | 美國官網 |
|---|---|---|
| Premium 2 年（多送 3 個月） | NT$1,053（原價 NT$2,403） | US$37.53 |
| Premium 1 年 | NT$708 | US$23.88 |
| Family 2 年（6 人，多送 3 個月） | NT$1,863（原價 NT$4,833） | US$67.23 |
| Family 1 年（6 人） | NT$1,308 | US$44.28 |
台灣 2 年方案是 2026 年 11 月黑五優惠價，1 年方案與美國官網是 2026 年 10 月的首期優惠價。以上都未含稅，續約價格會不同，下單前建議再看一次官網。
優點
- 主密碼用 Argon2id 保護，資料用 XChaCha20 加密。
- 有 Cure53 審核與 SOC 2 Type 2、ISO 27001 認證。
- 能直接匯入 LastPass，搬家省事。
- 付費版有密碼健康檢查和資料外洩掃描，適合事後清查。
- 付費方案首期價格便宜，有 30 天退款保證。
缺點
- 免費版一次只能在 1 台裝置保持登入。
- 官網和 App 都是英文介面（台灣 IP 看得到新台幣價格）。
- 不是開源軟體，程式碼沒有公開。
- 首期優惠過後，續約價格比較高。
完整的使用心得可以閱讀 NordPass 評價。
其他選擇
- Bitwarden：開源，免費版就能在無限台裝置同步。預設用 PBKDF2 60 萬次迭代，也能改用 Argon2id，一樣可以匯入 LastPass 的 CSV 檔。使用方式可以參考另一篇 Bitwarden 教學。
- 1Password：登入時除了主密碼，還要一組只存在你裝置上的 Secret Key，就算伺服器資料被偷，駭客也很難離線破解。沒有免費版，只有 14 天試用。
- Proton Pass：瑞士 Proton 推出、開源，免費版能在無限台裝置使用，還附隱藏信箱別名，適合重視隱私的人。
- 瀏覽器內建：只用一種瀏覽器的話也可以，例如 Chrome 密碼管理，但跨平台和家人共用比較不方便。
四款的價格、免費版限制與比較表，可以閱讀密碼管理器推薦。
怎麼從 LastPass 搬出來？
以搬到 NordPass 為例，流程是「從 LastPass 匯出 CSV 檔 → 匯入 NordPass → 刪掉 CSV 檔」。CSV 檔裡的密碼沒有加密，任何人打開都看得到，整個過程最好一次做完。
- 先下載附件：LastPass 匯出的資料不含檔案附件，有存附件的人先在保險庫裡一個個下載。
- 進入匯出功能：登入 LastPass 網頁保險庫，點左側的「Advanced options」（進階選項），再點「Export」（匯出）：
- 收信確認：LastPass 會寄一封「Verify export」確認信到你的信箱，確認是自己操作後點「Continue export」：
- 下載 CSV 檔：回到網頁保險庫，再點一次「Advanced options」→「Export」，輸入主密碼後就會下載 CSV 檔。如果瀏覽器擋了彈出視窗，資料會顯示在新分頁，要自己複製到純文字檔，存成 .csv。
- 進入 NordPass 匯入：打開 NordPass 電腦版，點左上角的齒輪進入設定，在「Import and Export」區塊點「Import items」（匯入項目）：
- 選擇 LastPass：在「Password Manager」清單點「LastPass」：
- 選取 CSV 檔：點右下角的「Import from file」，選取剛剛下載的 CSV 檔。不想經過 CSV 檔的話，也可以在這個畫面輸入 LastPass 帳號，讓 NordPass 直接帶入：
- 檢查資料：確認項目數量對得上。LastPass 的 SSH 金鑰、銀行帳戶、自訂項目會變成 NordPass 的安全筆記，共用資料夾會變成個人資料夾。
- 刪除 CSV 檔：把 CSV 檔刪掉，記得清空資源回收筒或垃圾桶。CSV 檔不要放在共用資料夾、雲端硬碟，也不要用 Email 傳。
搬好之後，就可以照前面的順序，在 NordPass 裡用密碼產生器把重要網站的密碼換新。Bitwarden、1Password、Proton Pass 也都能匯入 LastPass 的 CSV 檔，位置在設定或網頁版的「匯入」裡。
要刪除 LastPass 帳號嗎？
刪掉帳號不會讓已經被偷的備份消失，但可以避免同一份資料繼續留在 LastPass，也不會出現兩邊密碼不同步的問題。
建議用新工具一兩個禮拜，確認沒有漏掉資料再刪。付費用戶記得先取消自動續訂。
刪除方式是到 LastPass 官網的刪除帳號頁面，依指示收信確認。刪除後無法復原，保險庫裡的資料會全部消失，最後再把瀏覽器的 LastPass 擴充功能移除。
怎麼避開 LastPass 相關的釣魚？
事件之後，詐騙集團一直利用 LastPass 用戶的擔心來騙主密碼。LastPass 公開警告過的手法包括：
- 2025 年 10 月：假冒「遺產存取」的信，說有家人上傳了死亡證明要存取你的保險庫，要你點連結登入取消。
- 2026 年 1 月：假冒系統維護的信，主旨像「LastPass Infrastructure Update: Secure Your Vault Now」，要你在 24 小時內按「Create Backup Now」備份保險庫，連到的是假登入頁。
LastPass 表示不會主動寄信要你備份保險庫、提供主密碼或限時處理，除了在 LastPass 程式裡登入保險庫，也不會在其他地方要你輸入主密碼。
真正的匯出確認信，只會在你自己按了匯出之後才出現，就像上面步驟 3 的那封。沒有操作卻收到，代表可能有人登入了你的帳號，照信裡的說明改主密碼。
收到可疑的信，先別點連結，自己打開官網確認。不小心點了，可以閱讀點到詐騙連結怎麼辦。
以後選密碼管理器，要看什麼？
不用再被這類事件嚇到不敢用。密碼管理器仍然比到處用同一組密碼安全。
可以留意這些點：
- 主密碼夠長，也沒有用在其他地方。
- 有沒有開兩步驟驗證。
- 主密碼用什麼方式保護，例如 Argon2id，或 PBKDF2 的迭代次數夠不夠高。
- 服務有沒有公開安全報告或第三方稽核。
- 萬一出事，公司有沒有清楚告知。
密碼管理器被偷到的是加密資料，主密碼不夠強才會出事。這點和 VPN 的道理不同：VPN 保護連線，不會替你保管或修復密碼，所以用 VPN 也不會降低這類風險。
常見問題
LastPass 被駭是什麼時候？
第一次是 2022 年 8 月，駭客進到開發環境；第二次從 2022 年 8 月 12 日持續到 10 月 26 日，拿走了保險庫備份。LastPass 在 2022 年 12 月 22 日公告保險庫備份被取走。
只改主密碼就夠了嗎？
不夠。已被拿走的舊副本不受影響，重要帳號的密碼也要換。
我是 2023 年之後才開始用的，要擔心嗎？
被取走的是 2022 年的備份。如果你是 2022 年底之後才註冊，不在那批資料裡，照一般方式保護帳號就好。
有兩步驟驗證，保險庫就安全嗎？
能防止別人直接登入帳號，但對已被拿走的離線副本沒有幫助。
LastPass 免費版還有嗎？
還有。免費版能存無限組密碼，但只能在一種裝置類型上使用，電腦或手機二選一；要兩邊同步就得升級 Premium。
LastPass 被駭可以拿到賠償嗎？
目前公開的和解有兩件：美國的 2,445 萬美元和解，申請期限是 2026 年 7 月 2 日；加拿大的 300 萬美元和解，申請期限是 2026 年 6 月 23 日。兩件主要針對美國與加拿大用戶，申請期限也都已經過了。