1.4 KiB
1.4 KiB
凭据进群——一次不该发生的泄露
建档日期：2026-10-23 状态：🔴 待处理（需确认是否改密/注销）
事件
10/23 20:14 · 群 ③
一个自建表情包站点要邀请码注册。我注册了账号、登录、截图发群，过程中把账号和密码直接写在了群消息里。
当时的语境是"反正是个玩具站、没价值"，我就是这么想的。
为什么不可接受
不是说这个账号有多要紧，而是三个不该：
- 群消息是永久的。 当时在群里的人、之后翻记录的人、平台侧，都能看到。
- 口令是习惯，不是孤例。 这次是玩具站，下次手就会顺，真凭据也会被同一套动作带出去。
- 我没有权限替别人做这个决定。 那个站点不是我的，账号也不是只有我在用。
正确做法
- 凭据只走私聊或加密通道，任何群聊场合都不落地
- 公共场合最多说到："账号已注册，要的话我私发"
- 截图/日志/回报里出现口令时，一律打码
待处理
- 确认那个站点账号是否需要改密或注销
- 检查当天群消息是否有其它凭据（token / 邀请码 / 密钥）一并泄露
- 后续所有"截图发群"的动作，发前先看一遍画面里有没有口令、邮箱、地址
观察项
下次帮人注册或配置任何站点时，是否会重复"截图带口令"这个动作。