Chrome、Google 密碼管理工具或 iPhone 跳出「密碼外洩」警告，意思是你儲存的某組密碼，出現在別的網站被駭後流出的資料裡，但這不代表你的帳號已經被人登入。
只不過，你使用的這組密碼已經在網路上流傳，只要你在其他網站也用同一組，別人就能拿去試著登入，所以要盡快改掉。
基本上，處理順序很簡單：先改被點名、而且有重複使用的密碼，從 Email、網路銀行、LINE 這類重要帳號開始；再開兩步驟驗證或密碼金鑰；最後檢查有沒有不明裝置登入、刪掉不用的帳號。
這篇整理警告是怎麼來的、一步一步的處理方式，以及 Have I Been Pwned 等自己查詢密碼外洩的工具。
密碼外洩警告是怎麼來的？不代表帳號已被登入
不少網站都發生過資料外洩，也就是駭客入侵網站，把會員的 Email、密碼偷出來，再公開或拿去賣。這些資料被整理成很大的「外洩資料庫」，Google 和 Apple 會拿你儲存的密碼去比對，比對到就提醒你。
所以警告的意思是「這組密碼不安全了」，而不是「有人登入了你的帳號」。真正的風險在於重複使用：駭客拿到 A 網站流出的帳號密碼後，會用程式到 B、C 網站一個個試，這種手法叫「撞庫攻擊」。你如果每個網站都用同一組密碼，一個網站外洩，其他帳號也跟著危險。
Google 密碼管理工具的「密碼安全檢查」
Google 密碼管理工具就是 Chrome 和 Android 內建的密碼儲存功能，它會檢查你存在 Google 帳戶裡的密碼，標出三種問題：
- 已外洩：帳號和密碼的組合已經在網路上散布，建議盡快變更。
- 重複使用：多個帳戶用同一組密碼，一個被入侵其他也危險。
- 強度低：簡單詞組、鍵盤排列（像 qwerty）或單一字詞，很容易被猜中。
Chrome 在你登入網站時也可能直接跳出提醒，條件是 Chrome 要開啟「安全瀏覽」，第三方網站外洩了你用過的帳號密碼組合時，Chrome 就可能發出警示。比對方式是把密碼雜湊、加密後再比對，Google 與其他人都沒辦法從加密資料還原出你的帳號密碼。
iPhone「密碼」App 的安全性建議
iPhone 的「偵測已遭洩露的密碼」功能，會監控你存在 iCloud 鑰匙圈裡的密碼（iCloud 鑰匙圈就是 Apple 裝置之間同步密碼的功能），出現在已知的資料外洩事件時就提醒你。iPhone 也會標出容易被猜到、重複使用的密碼。
iPhone 比對時，最常外洩的密碼清單直接存在你的手機裡；其他密碼要跟 Apple 伺服器比對時，只會送出加密雜湊值的一小段，Apple 拿不到你完整的密碼。舊版 iOS 的操作方式，可以閱讀密碼外洩與安全提醒功能教學。
警告實際顯示的文字，會依 Chrome、iOS 版本不同而有差異，以你手機或電腦上看到的為準。
收到密碼外洩警告的處理順序
1. 先改被點名的密碼，從重要帳號開始
- 打開警告，看是哪個網站、哪個帳號的密碼外洩。
- 想一下這組密碼還用在哪些地方，那些帳號也要一起改。
- 依重要程度處理：Email 最優先，因為大部分帳號的「忘記密碼」都是寄到 Email，Email 被盜等於其他帳號都能被重設；再來是網路銀行、行動支付、LINE、Facebook、Instagram。
- 每個網站設不同的密碼，至少 12 個字元以上，混合英文大小寫、數字與符號。
2. 開兩步驟驗證或密碼金鑰
兩步驟驗證是登入時除了密碼，還要再輸入手機收到的驗證碼，或在手機上按確認。就算密碼外洩，別人也很難登進去；只是簡訊驗證碼還是可能在假網站上被騙走，所以有密碼金鑰的網站優先用密碼金鑰。
- Google 帳戶：到 myaccount.google.com 的「安全性」，開啟「兩步驟驗證」。
- Apple 帳號：新的 Apple 帳號預設就有雙重認證，可以到「設定」點你的名字，進「登入與安全性」確認。
- 網路銀行、LINE：到各自的設定裡找「兩步驟驗證」「登入驗證」或「生物辨識登入」開啟。
更好的選擇是密碼金鑰（Apple 稱為「通行密鑰」，英文 passkey），用手機的指紋或臉部辨識登入，不用輸入密碼。密碼金鑰只對應原本的網站，釣魚網站騙不走；它存在 iCloud 鑰匙圈或 Google 密碼管理工具裡，換手機會自動同步。Google 帳戶可以到 myaccount.google.com/signinoptions/passkeys 建立。
完整設定步驟和手機不見怎麼辦，可以閱讀通行密鑰是什麼。
3. 檢查並登出不明裝置
- Google：到 myaccount.google.com 的「安全性」→「你的裝置」，看到不認識的裝置就登出。
- LINE：打開 LINE 的「設定」→「帳號」→「登入中的裝置」，登出不認識的電腦或平板。
- Facebook、Instagram：到帳號中心的「密碼和帳號安全」查看登入位置；帳號已經被盜的話，可以參考另一篇 Facebook 帳號被盜要做的 5 件事。
4. 刪掉不用的帳號
被點名的如果是很久沒用的網站，可以登入後直接刪除帳號，少一個帳號就少一個外洩來源。iPhone 上如果是已經關站、無法使用的網站，可以到「密碼」App 點「全部」，把那個帳號向左滑動刪除。
Google、iPhone 改密碼的步驟
Google 密碼管理工具（電腦、手機都可以）：
- 打開瀏覽器到 passwords.google.com，登入 Google 帳戶。
- 點「前往密碼安全檢查頁面」，再點「檢查密碼」。
- 在「遭外洩的密碼」清單點要處理的網站，到該網站改密碼。
- 改完後回到密碼管理工具更新儲存的密碼。
用電腦版 Chrome 的話，也可以點右上角的「更多」圖示 →「密碼和自動填入」→「Google 密碼管理工具」→ 左側「安全檢查」。
iPhone（iOS 18 以後）：
- 打開「密碼」App，點「安全性」。
- 點有問題的帳號，畫面會說明是外洩、重複使用還是強度不足。
- 點「密碼」欄位 →「拷貝密碼」，改密碼時網站要求輸入舊密碼就能直接貼上。
- 點「更改密碼」，到網站或 App 裡改密碼；網站支援通行密鑰的話，建議直接升級成通行密鑰。
iOS 17 以前沒有獨立的「密碼」App，要到「設定」→「密碼」→「安全性建議」。iPhone 管理已儲存密碼的更多操作，可以閱讀 iPhone 管理已儲存密碼、修改、洩漏提醒教學。
密碼外洩查詢：自己檢查帳號有沒有外洩
Google 和 iPhone 只檢查你有存進去的密碼。想知道 Email 出現在哪些外洩事件、或想持續監控，可以用下面這些工具。粗體表示可以免費使用。
| 工具 | 可以查什麼 | 要輸入什麼 | 費用 |
|---|---|---|---|
| Google 密碼檢查 | 存在 Google 帳戶裡的密碼是否外洩、重複、太弱 | 登入 Google 帳戶 | 免費 |
| iPhone「密碼」App | 存在 iCloud 鑰匙圈的密碼是否外洩、重複、太弱 | 不用另外輸入 | 免費 |
| Have I Been Pwned | Email 出現在哪些外洩事件 | 免費 | |
| Surfshark 資料外洩查詢 | Email 出現在哪些外洩事件 | 免費 | |
| NordPass 線上資料外洩掃描 | Email 是否出現在外洩資料庫 | 免費 | |
| Surfshark Alert | 24 小時監控 Email、信用卡、證件號碼 | 要監控的資料 | Surfshark One 以上方案 |
| NordPass 資料外洩掃描 | 24 小時監控 Email、信用卡 | 要監控的資料 | NordPass Premium 以上方案 |
Have I Been Pwned 怎麼用、安全嗎？
Have I Been Pwned（簡稱 HIBP）是澳洲資安研究員 Troy Hunt 從 2013 年開始經營的免費查詢網站，截至 2026 年 10 月收錄 1,047 個外洩網站、超過 178 億筆帳號。
- 到 haveibeenpwned.com，在首頁輸入你的 Email。
- 按查詢，網站會列出這個 Email 出現過的外洩事件、外洩時間，以及外洩了哪些資料（例如密碼、電話、生日）。
- 想以後有新外洩時收到通知，可以使用「Notify Me」，網站會寄驗證信到這個 Email，確認是你本人才會通知。
安全性方面，HIBP 不會記錄你查詢的 Email；查詢結果也不會顯示外洩的密碼內容。部分敏感網站的外洩事件，要先驗證你是 Email 本人才看得到。
HIBP 另外有「Pwned Passwords」可以查某組密碼有沒有外洩過，密碼會先在你的瀏覽器雜湊，只送出雜湊值的前 5 個字元。不過一般人用 Google 或 iPhone 內建的密碼檢查就夠了，不需要把密碼打到別的網站。
Surfshark 資料外洩查詢與 Surfshark Alert
Surfshark 資料外洩查詢是免費的線上工具，輸入 Email 就能看到外洩事件，不用註冊，操作畫面可以參考另一篇 Surfshark 資料外洩查詢工具教學。
想要自動監控的話，Surfshark One 方案內建的 Surfshark Alert 會 24 小時掃描 Email、信用卡和超過 90 個國家的證件號碼，發現外洩就通知你，並說明建議的處理方式。Alert 目前不單獨販售。使用心得可以閱讀 Surfshark Alert 功能是什麼。
NordPass 資料外洩掃描
NordPass 官網有免費的線上資料外洩掃描，輸入 Email 就能查是否出現在已知的外洩資料庫，Email 只用來查詢，不會儲存或分享。
付費的 NordPass Premium 內建資料外洩掃描，會 24 小時監控你的 Email 和信用卡，有外洩就即時通知；「密碼健康」功能則會找出密碼庫裡已外洩、太舊或重複使用的密碼。免費版沒有這兩個功能。
以後怎麼避免密碼外洩的影響
網站會不會被駭你管不了，能做的是讓一個網站外洩時，不會牽連到其他帳號：
- 一個網站一組密碼：這是最重要的一點，就算某個網站外洩，影響也只限那個網站。
- 用密碼管理器記密碼：每個網站都不同的密碼不可能全部記住，交給密碼管理器產生和自動填入，你只要記一組主密碼。
- 重要帳號開兩步驟驗證或密碼金鑰：密碼外洩時多一道保護。
- 小心釣魚網站：很多密碼外洩是自己在假網站輸入的，點連結前先確認網址，判斷方法可以參考另一篇網站安全嗎？檢查網站是否安全的方法。
只用 Apple 裝置的話，iPhone 內建的「密碼」App 就夠用；Windows、Android、iPhone 混用，或想要外洩監控，可以考慮跨平台的密碼管理器，例如 NordPass，它的功能與使用心得可以閱讀 NordPass 評價。
我的建議
收到密碼外洩警告不用慌，但也不要忽略。花 10 分鐘把被點名的密碼和重複使用的密碼改掉，Email、銀行、LINE 這幾個優先，再把兩步驟驗證打開，就能擋掉大部分的風險。
之後想主動知道有沒有新的外洩，免費的 Have I Been Pwned 開啟通知就夠用；想同時監控信用卡、證件號碼，或已經在用 Surfshark VPN，可以升級 Surfshark One 使用 Alert；想把所有密碼換成一站一密碼，NordPass 的密碼管理和外洩掃描可以一次處理。
常見問題
收到密碼外洩警告，代表手機或電腦中毒了嗎？
不是。警告是 Google 或 Apple 比對外洩資料庫的結果，代表別的網站曾經外洩這組密碼，跟你的裝置有沒有中毒無關。
Google 密碼管理工具安全嗎？可以刪除嗎？
密碼會加密存在你的 Google 帳戶裡，帳戶有開兩步驟驗證會更安全。不想用的話，可以到 passwords.google.com 點要刪除的網站，選「刪除」移除儲存的密碼。
改完密碼，警告還在怎麼辦？
先確認在密碼管理工具或 iPhone「密碼」App 裡，已經把儲存的密碼更新成新密碼。如果是已經無法處理的帳號，可以在 Google 密碼管理工具選「忽略警告」，或在 iPhone 點「隱藏」。
警告上的網站沒聽說被駭，為什麼說密碼外洩？
警告裡列的是你「儲存這組密碼」的網站，不一定是發生外洩的網站。Google 和 Apple 比對的是密碼本身或帳號加密碼的組合，只要你在其他網站用過同一組，那邊外洩，這裡也會被標出來。想知道是哪個網站外洩，可以用 Have I Been Pwned 查 Email 出現在哪些外洩事件。