VPN 与身份盗用：它能帮上什么

人们担心身份盗用时，常常先想到听起来最像“隐私”的工具：VPN。这种直觉并不傻，因为 VPN 确实能减少盗用者可能利用的一部分暴露。但身份盗用是一个庞大的、多步骤的问题，VPN 只覆盖其中薄薄的一片。弄清是哪一片，能让你既不过度恐慌，也不盲目放心。

本文梳理身份盗用通常如何发生，明确指出 VPN 在哪里降低风险、在哪里毫无作用，并给出一套保护账号与证件的可行日常做法。这是一般性信息，不构成法律或财务建议，事发之后的具体补救办法因国家而异。想更全面了解 VPN 管不了什么，请看 VPN 无法保护你的哪些方面。

身份盗用到底是什么

身份盗用，是指有人使用你的个人信息冒充你，为自己牟利。常见目的包括接管账号、以你的名义开立新账户或申请信贷、购物、冒领福利或退款，或者实施最终指向你的欺诈。

为此，盗用者需要的是一块块数据，而不是魔法。典型的数据块包括：

• 账号凭证：邮箱加密码，或一个仍处于登录状态的会话。
• 个人标识：全名、出生日期、身份证号码、护照信息、家庭住址。
• 金融信息：银行卡号、银行登录信息或账号。
• 验证渠道：你的手机号或邮箱，用来接收验证码和重置密码。
• 背景信息：社交媒体上能回答安全问题的细节，比如宠物名字或就读学校。

注意，其中最有价值的邮箱账号和手机号，也正是打开几乎其他一切的钥匙。要先保护好这两样。多数盗用者并不需要实时读取你的流量，他们从别处购买或收集数据，然后再使用。

这些数据通常怎么被偷走

大致按造成麻烦的频率来看这些途径。

1. 企业数据泄露。 你信任的公司被入侵或数据库泄露，你的信息被拿去出售。你没做错任何事，任何个人工具也拦不住。
2. 钓鱼和诈骗消息。 你被骗在假页面上输入密码或一次性验证码，或者把验证码念给自称银行的来电者。
3. 弱密码或重复使用的密码。 在一次泄露中流出的密码，被拿去试你的邮箱、购物和银行账号。
4. SIM 卡劫持和号码接管。 犯罪分子说服运营商把你的号码转到他的 SIM 卡上，然后接收你的验证码。
5. 恶意软件。 设备上的程序记录按键或窃取保存的登录信息。关于这一块，参见 VPN、杀毒软件与防火墙的区别了解该由哪种工具负责。
6. 实物被盗。 被偷的信件、丢失的钱包、丢弃的带账号信息的账单，或没有锁屏的手机。
7. 过度分享。 发布登机牌、新卡或证件号码的照片，泄露的比你想要的多。
8. 不安全的网络。 在没有保护或伪造的 Wi-Fi 上，有人截获未加密的流量，或诱导你进入假登录页。

VPN 只触及最后一项，而且只是部分触及。其余都关乎数据泄露、行为、设备和纸质文件。

VPN 在哪些地方有帮助

对这个工具要公平。VPN 确实有一些真实的、尽管不大的减少暴露的方式。

情形	VPN 的作用	对身份盗用的意义
咖啡馆、酒店、机场的共享 Wi-Fi	加密设备与 VPN 服务器之间的流量	同一网络上的其他人无法读取或修改你发送的内容
仍有部分数据未加密发送的网站和应用	对本地网络隐藏这些流量	同一网络上的观察者拿到的原材料更少
不友好或运维糟糕的网络	限制该网络运营者能看到的内容	减少被你无法审查的一方分析画像
你的公网 IP 地址	网站看到的是 VPN 的地址，而不是你的家庭或手机连接	稍微增加了把你的会话与位置和运营商联系起来的难度
出行	在许多陌生网络上有一层一致的保护	处理订票和银行事务时不确定因素更少

FTC 关于公共 Wi-Fi 的建议表达了同样的观点：共享网络上需要小心，加密连接有帮助。大部分网站已经使用 HTTPS，所以 VPN 在一般网站上的实际收益比过去小，但它仍然覆盖了 HTTPS 没有隐藏的部分，比如你访问了哪些网站，并在连接未受保护这种较少见的情况下起作用。

同时要明白，VPN 服务本身能看到什么，因为你是把信任从自己的网络转交给了服务商。决定之前请读VPN 服务商能看到什么。

VPN 帮不上忙的地方

这份清单更长，大部分风险都在这里。

• 数据泄露。 如果公司保存了你的信息又弄丢了，你的 VPN 从来不在这件事里。
• 钓鱼。 通过隧道看，假银行页面和真的一模一样。请学习识别钓鱼网站。
• 弱密码或重复密码。 隧道不会把坏密码变好。
• SIM 卡劫持。 发生在运营商那里，离你的设备很远。
• 设备上的恶意软件。 键盘记录器在你输入的内容进入隧道之前就记下了。
• 假电话和假消息。 向你索要一次性验证码的来电者，并不关心你的 IP 地址。
• 你发布的内容。 凡是公开的都是公开的，不管你是怎么连接的。
• 证件和银行卡。 实物被盗完全在网络之外。
• 匿名性。 VPN 不会让你匿名。账号、Cookie 和设备信息仍能识别你，详见 VPN 能让你匿名吗。

所以诚实的总结是：VPN 帮助的是问题中“网络暴露”的那一片，其余都需要别的工具。

建立一套真正管用的防护习惯

按影响从大到小分层来想。前四层一个晚上就能做完。

第 1 层：保护好钥匙，也就是邮箱和手机

• 邮箱使用长且唯一的密码，并开启双重验证。美国机构 CISA 在 More than a Password 中解释了原因。
• 能用验证器应用或通行密钥（passkey）时，优先于短信验证码。FIDO Alliance 介绍的 passkey 能抵御钓鱼，因为它只能在真实网站上使用。
• 询问你的运营商，能否在把号码转到另一张 SIM 卡之前增加 PIN 或额外验证。

第 2 层：每处都用唯一的密码

密码管理器是为每个服务拥有不同强密码的最简单办法。某个网站被攻破，损失到此为止。双重验证指南与这一步天然搭配。

第 3 层：识破骗局

消息制造紧迫感时就慢下来。银行和政府机构不会通过电话、聊天或短信向你索要一次性验证码或完整密码。有疑问就关掉消息，通过你已经信任的号码或应用联系机构。

第 4 层：保持设备整洁

更新操作系统和应用，只从官方渠道安装软件，并给手机设置锁屏密码。这样就堵住了恶意软件这条路。

第 5 层：限制流出去的信息

少分享。不要发布证件、票据或银行卡的照片。检查社交账号的隐私设置。购物和订阅通讯所用的邮箱，与银行所用的邮箱分开。

第 6 层：在你无法控制的网络上使用 VPN

在共享 Wi-Fi、酒店和机场，先连接再打开邮箱或银行应用。在你自己的家用路由器上，好处较小，主要是对宽带运营商的隐私。

第 7 层：留意信号

开启登录提醒和银行通知。每月核对账单。查看邮箱账号的已登录设备和已连接应用列表，删除不认识的项目。很多国家还提供查询或冻结个人信用档案的办法，请参考你所在国家消费者保护机构的指引。以上是一般性信息，不构成法律建议。

三个实例

机场里的小雅。 小雅在候机，要支付酒店订金。她在打开订票网站前先连上 VPN，机场网络看不到她的活动。VPN 起了作用。但她仍然核对了订票页面的地址，确认支付页在酒店的真实域名上，因为 VPN 不会发觉假页面。两个步骤都有意义。

收到泄露通知后的阿凯。 阿凯收到邮件，说他曾使用的一个购物网站被入侵。此时 VPN 没有用，数据早已流出。有用的是：修改那个网站的密码，修改其他重复使用过该密码的地方，为邮箱开启双重验证，并留意使用他名字的可疑消息。他还查看了银行是否提供提醒服务。整个应对全在账号层面。

小茉和手机里的验证码。 小茉接到自称银行的电话，要她念出刚发到短信里的验证码。她挂断电话，拨打了银行卡背面印着的号码。VPN 完全帮不上忙，但她核实来电者的习惯阻止了账号被接管。

常见错误

• 把 VPN 当作密码和双重验证的替代品。
• 邮箱和购物网站用同一个密码。
• 在由消息链接打开的页面上填写信息，而不是自己输入网址或使用应用。
• 把一次性验证码告诉任何向你索要的人。
• 发布露出银行卡、登机牌或证件号码的照片。
• 让旧账号闲置不管。
• 认为绿色小锁或 VPN 连接就能证明网站是真的。
• 因为“目前没出什么事”而忽视泄露通知。
• 从不明来源安装免费 VPN 应用并授予广泛权限。参见免费 VPN 安全吗。

如果你认为自己的身份被冒用了

以下是被广泛推荐的一般步骤，请按所在国家的规则调整：

1. 在干净的设备上修改受影响账号的密码，先从邮箱开始。
2. 开启或重置双重验证，并退出所有其他会话。
3. 如果涉及资金或银行卡，尽快联系银行或发卡机构。
4. 保留记录：截图、日期、参考编号。
5. 向相关机构以及你所在国家的有关部门报告。
6. 在有此类服务的地方，查看是否可以为信用或身份记录设置提醒或冻结。
7. 在接下来的几周里密切关注你的账号。

由于法律和流程各不相同，具体步骤请以所在地的政府或消费者保护机构的官方资料为准。

小结

VPN 帮助的是身份盗用中很窄的一部分：对共享网络上的他人隐藏你的流量，并限制网络运营者能看到的内容。但它挡不住数据泄露、钓鱼、SIM 卡劫持、恶意软件、诈骗电话或过度分享，而这些才是多数真实案例的成因。最强的保护是分层的日常习惯：先保护邮箱和手机，用唯一的密码，开启双重验证或使用 passkey，提高识骗意识，保持设备整洁，谨慎分享，并在你无法控制的网络上使用 VPN。

如果适合旅行或共用 Wi-Fi 的短期预付通行证正合你意，可以到价格页面比较各项选择。