使用 VPN 能防止数据泄露吗？

每隔几周，就会有新闻说某家公司丢失了客户资料。姓名、邮箱、手机号，有时还有加密后的密码或收货地址，出现在犯罪分子交易的文件里。在这种氛围下，很多人会想：我手机上的 VPN 能不能防住这种事？或者买一个 VPN，下次就安全了吗？

坦率的回答是：VPN 和数据泄露发生在不同的地方。VPN 保护的是你的数据从设备出发、穿过互联网的这段旅程；而数据泄露发生在目的地，也就是公司的数据库被不该进入的人打开的时候。本文会带你看清泄露究竟发生在哪里、VPN 影响什么又不影响什么，以及一套降低风险、在信息暴露后减少损失的实用方案。内容属于一般性科普，不对任何具体情形作保证。

数据泄露究竟发生在哪里

要理解 VPN 为什么在这件事上几乎无关，不妨跟着数据走一遍。你在网店注册时，会把姓名、邮箱和密码通过互联网发送到店铺的服务器。之后，店铺把你的信息存进自己的数据库。大多数泄露发生在第二个阶段。

常见原因包括：

• 公司员工的凭据被盗或过于简单，往往通过钓鱼获得，让攻击者进入内部系统。
• 没有打补丁的软件，运行在网站服务器或数据库上，被攻击者利用漏洞。
• 存储配置错误，例如云存储空间不小心设成了公开访问。
• 第三方供应商替公司保管客户数据，自己却被攻破。
• 内部失误或滥用，从丢失笔记本电脑到员工导出客户名单都算。
• 撞库攻击：用另一次泄露得到的密码批量尝试登录。严格来说这是账号被接管，而非公司被攻破，但常常出现在同一类新闻里。

这些原因没有一个涉及你手机到互联网之间的那条线路。哪怕你全程开着 VPN，数据仍然躺在公司数据库里等着被攻击。这就是 VPN 无法阻止数据泄露的根本原因。

VPN 能覆盖什么

在这个话题里，VPN 并非毫无用处，它只是堵住了其中一条路径：你与 VPN 服务器之间的网络上的窃听。想了解完整机制，可以看HTTPS 与 VPN 的比较，因为多数网站本身就会加密流量。下表展示了两层保护如何配合。

层级	保护什么	谁负责
你与网站之间的 HTTPS	访问内容，防止同一网络上的人看到	网站和浏览器
VPN 隧道	从设备到 VPN 服务器的流量，包括你访问了哪些网站（本地网络看不到）	你和 VPN 服务商
公司数据库	你注册后被存储的记录	公司
你的账号安全	泄露的密码能否被拿来使用	你，通过不重复的密码和双重验证

实际使用中，VPN 在这些情况下有帮助：

• 使用酒店或咖啡馆的网络，其他住客可能试图读取未受保护的流量。
• 不让网络所有者看到你连接了哪些网站。
• 减少网络服务商能观察到的内容。

这些风险是真实的，但和数据库被攻破是两回事。关于公共网络风险的概览，可以参考公共 Wi-Fi 安全。

真正能限制损失的做法

既然你无法控制别家公司的安全，策略就是让泄露对你的伤害尽量小。四个习惯承担了大部分工作。

1. 每个账号使用不同的密码。 如果每个账号都有自己的密码，某家店铺的泄露就不会打开你的邮箱或银行。NIST SP 800-63B 等指南建议将密码与已知泄露列表比对，并鼓励使用较长的口令短语，而不是强制复杂规则。
2. 双重验证。 有了第二步，仅凭泄露的密码就不够了。CISA 关于多因素认证的页面解释了它如何挡住大多数账号接管企图。双重验证一文介绍了各种选择；在支持的地方，通行密钥（passkey）更进一步，彻底去掉了共享的密码。
3. 一开始就少给信息。 店铺很少需要你的生日、身份证号或第二个手机号。从未提供的数据不可能被泄露。购物和订阅新闻使用单独的邮箱。
4. 留意并及时反应。 查看你的邮箱是否出现在已知的泄露通报服务中，阅读公司发来的事件通知邮件，并在当天更换相关凭据。

这些都不需要特殊软件，而且每一项降低损失的效果都远超过选哪个 VPN。

一个例子：同一次泄露，两种用户

假设一家外卖应用发生泄露，攻击者拿到了客户姓名、手机号、邮箱和哈希后的密码。两位用户受到影响：阿琳和小宾。

阿琳有 VPN，但她在外卖应用、邮箱和社交账号上用的是同一个密码，也没有启用双重验证。几天后，攻击者破解了强度较弱的哈希，拿这个密码去试各大热门服务，进入了她的邮箱，然后以此重置其他账号。

小宾没有 VPN，但他使用密码管理器，外卖应用的密码是随机且独一无二的，邮箱也开了双重验证。公司公告出来后，他更换了密码，检查订单历史有无异常，并忽略了一条自称外卖公司、要求"验证"银行卡的短信。攻击者拿到了他的姓名和手机号，但什么也打不开。

VPN 对阿琳没起到作用，而良好的账号习惯对小宾意义重大。这并不意味着 VPN 是个坏主意，而是说它解决的是另一种问题，不要把它当成抵御公司如何处理你数据的盾牌。

泄露之后：第一天该怎么做

收到泄露通知后，按下面的顺序行动。

1. 确认通知是真的。 伪造的泄露通知邮件是钓鱼的常用手法。不要点击邮件中的链接，而是自己输入公司网址，或打开官方应用查找公告。CISA 关于识别钓鱼的指南是有用的参考，钓鱼网站一文列出了常见迹象。
2. 更换密码：受影响的账号，以及所有用过同一个密码的账号。
3. 开启双重验证，或在支持的地方添加通行密钥。
4. 弄清楚泄露了什么。 通知里应列出数据类型。如果涉及银行卡，联系银行并考虑换卡；如果涉及身份证号之类，请遵循你所在国家的官方指引。
5. 预期后续诈骗。 犯罪分子会利用泄露的数据编造可信的消息，例如一个"快递员"打来电话，还知道你的地址。放慢节奏，通过官方渠道核实。
6. 检查账号活动。 查看登录记录、邮箱的转发规则和已连接的应用。
7. 做好记录。 写下你何时更改了什么，以便向银行或公司说明。

如何冷静地阅读泄露通知

泄露通知通常由律师起草，往往含糊其辞，所以最好知道该找哪些问题的答案。

• 被拿走了什么？ 仅有邮箱和姓名只是麻烦；密码、支付信息、身份编号，或健康、位置记录则严重得多。
• 密码是怎么存储的？ 通知里若说密码经过"哈希加盐"，比以明文存储要好一些，不过弱密码依然可能被破解。
• 发生在什么时候？ 泄露往往在事发数月后才被发现，所以要假定数据已经流传了一段时间。
• 公司提供了什么？ 有些公司提供信用监控或热线。只使用其官方网站上公布的联系方式。
• 它要求你做什么？ 真正的通知很少要求你通过回复发送密码或银行卡号。如果有，就当作诈骗。

保留这份通知，并记下你采取行动的日期。如果泄露的数据包含无法更改的内容，比如出生日期，就要做好以年计、而不是以天计的警惕准备。

VPN 在这个话题中的局限

广告里常常夸大其词，所以有必要直接说明 VPN 不做什么。

• 它不能阻止公司被黑客攻破。
• 它不能把你的数据从已泄露的文件中删除。
• 它不能防范钓鱼、诈骗或恶意软件。VPN 保护不了你的哪些方面一文对此有详细说明。
• 它不会对你已登录的网站隐藏你的身份。
• 它不能让弱密码变强，也不能取代双重验证。
• 它把信任转移给了 VPN 服务商，而服务商本身也是持有你连接部分信息的公司，所以要谨慎选择。常见的 VPN 安全误区列出了值得怀疑的说法。

构建抗泄露生活的习惯

除了应急步骤，一些日常习惯能让数据泄露变得"无聊"而不是可怕。

• 使用密码管理器。 它生成并记住各不相同的密码，你不必自己记。
• 分开邮箱。 一个用于银行和官方事务，一个用于购物和注册，第三个用于任何你认为可随时丢弃的场合。
• 清理旧账号。 删除不再使用的服务。账号越少，数据可能泄露的地方就越少。
• 全部保持更新。 浏览器、手机系统和应用会修补恶意软件利用的弱点。
• 谨慎对待数据请求。 如果应用没有明确理由却要求访问通讯录、照片或位置，就拒绝。
• 在你无法掌控的网络上使用 VPN，并配合以上习惯。XPASS 用户使用免费的 VPNclient 应用，凭 My Pass 页面上的用户名和密码登录，支持的设备见下载页面。

常见错误

• 以为 VPN 是防数据泄露的盾牌，因而放松其他习惯。
• 因为"那个网站上没什么重要的东西"就重复使用密码。
• 不核对发件人就点击泄露通知邮件里的链接。
• 因为没有被扣钱就无视通知。
• 对每个索要信息的服务都提供真实生日和地址。
• 保留多年不用的服务的账号。
• 用真实、容易被猜到的答案回答安全问题。

总结

VPN 保护数据离开你设备之后的传输途中，在共用网络上有帮助。数据泄露则发生在保存你信息的公司服务器上，VPN 无法阻止。真正降低损失的是：不重复的密码、双重验证或通行密钥、少提供数据、谨慎处理泄露通知，以及对后续诈骗保持警惕。把 VPN 看作整套防护中的一层，而不是其他层的替代品。

如果你觉得简单的预付方式适合补上这一层网络防护，可以随时看看价格页面。