把不活跃账号自动转成僵尸，新浪微博能不能别这么不要脸？
10 月 5 日晚，我刚到家，收到这样一条短信。
连知乎上都有人发来私信通知我这件事。
我上一个微博账号就是因为被盗，加上新浪当时已经不认可邮箱作为密保，无法被找回。所以这已经算是第二次被盗了。
但其实我早已不用微博了，我的 iPhone X 上甚至没装任何微博客户端，只有 6s 上还装有微博客户端，是一年前我因为想要彻底注销这个微博账号才装的。但最后因为微博的重重阻挠，最后没能注销成功。当时微博给我设下的最后一道限制是：「必须在三个月内没有修改过密码，才能注销账号。」
但这一次我 100% 确定，这绝不是有人盗取了我的账号，而绝对是新浪自身的数据泄漏，甚至主动将不活跃用户的账号转成了僵尸，卖给了黑产，迫使用户登录账号进行操作，以获得更好的用户活跃数据。
接下来我将解释为什么我的账号不可能被盗。
首先，我账号的密码没有被改。我收到消息之后直接拿出我的 iPhone 6s，账号还处于完全正常的登录状态，甚至没有登出，更没有任何安全异常提示。
所以如果存在这么一个盗号者，他绝不可能是获取了我的密保手机，通过「找回密码」的方式改掉密码，然后登录。他只可能是直接通过账号和密码，登录了我的账号。
而这个世界上不可能有人能获取我的微博密码。
今年年初的时候，为了注销我的微博账号，我对微博密码进行了更改（因为根据新浪的说法，我之前那个密码「不够安全」，所以无法注销账号）。修改后的密码中包含两个毫不相干的「因素」（数字、人名、地名……），也从没被我用于任何其他平台的账户。修改密码之后，因为我并不用微博，所以这个密码具体是什么我自己都忘了。之后 10 个月的时间里，我只在我 Mac 的 Safari 上和 iPhone 6s 的微博客户端上登录过微博，密码保存在我的 iCloud 钥匙串里。
稍微懂技术的人应该明白，这样一个世界上独一无二的、不可能通过我的个人信息撞出来的、只保存在 iCloud 钥匙串里，甚至我都没有用键盘输入过的密码，是不可能泄漏的。
所以这件事只剩下了一种可能性。
新浪微博首先会想尽办法阻挠用户注销账号，无法注销账号的用户如果长期不用微博，新浪就会通过某种方式，将不活跃用户的账号变成僵尸粉。通过这种方式让用户不得不重新登录，修改密码，甚至发微博说明自己账号被盗的情况。
我常常对腾讯阿里发出批评，但我真的没意识到最不要脸的公司其实是新浪。
最后我简单介绍下我在互联网上设置密码的方式，学习一下这个，可以让你的账号不莫名其妙被盗。
首先我会根据我的依赖程度，将不同的平台分为三个不同的安全等级。最低的一等是「即使被盗也不会产生什么损失」的，就偶尔注册一下，偶尔用一用的账号；中间一等是「我用得还比较多，但不涉及私密数据，也不涉及银行（支付宝）账户」的账号；最高一等就是「涉及重要隐私或银行账户」的账号。
针对最低一级的账户，我想了一个「双因素」密码，一个「因素」就是你密码的来源，比如是某个人名地名的缩写，某个日期，某串号码。用两个完全不相干的「因素」组成的密码，可以保证这个密码不会被知悉你个人信息的人套取。当有我注册了的平台出现了被「拖库」的情况，明文密码泄漏（其实我还没遇到过），我就需要对想得到的账号统一进行密码修改。
针对第二级的账户，我仍然想了一个「双因素」密码。但跟第一级账户不一样的是，我会根据平台的信息对这个密码进行「二次加密」，根据不同账户平台的名称提取出一个特征数字，用于定位这个密码中的某个位置，我会在这个位置上加入一个特殊符号。这就使我所有的密码各不相同，但又不会记不起来。
（比如我的双因素密码是 zhihu138，然后我根据「腾讯」的网站地址 http://qq.com，qq 是两个字母，提取特征数字「2」，定位第二个字母后加一个连字符，那么我的知乎密码就是 zh-ihu138。）
针对第三级的账户，我想了一个「四因素」密码，并根据平台的信息对这个密码进行双重的「二次加密」，根据平台的名称提取出两个特征数字，其中一个用于定位这个密码中的某个字母，将其大写，另一个用于定位这个密码中的某个空隙，在其中加入一个特殊符号。
总之就是在这套系统下，我的新浪微博密码仍然泄漏了。所以我能 100% 确定，这是新浪内部的问题所致，甚至新浪本身主动推动了这类事情的发生。
Fuck 微博。
以上。
文章被以下专栏收录
