凭据泄露刚上新闻。
最初 24 小时怎么做。

第 0 到 2 小时：判定你是否暴露

1. 把资产说准。“某供应商被攻破”只有在你确实在这家供应商处持有账户、凭据、令牌或数据，或者复用了曾经存放在那里的密码时，才与你有关。动手之前，先把实际的重叠范围写下来。
2. 查复用，不只查是否存在。任何一次泄露的波及半径，取决于同一个密码或它的近似变体被复用到了哪里。如果你的凭据存放在可搜索的团队保管库里，这次排查只要几分钟；如果它们散落在聊天记录和表格里，这一步就是你的瓶颈，也是你要吸取的教训。
3. 冻结图方便的访问途径。在更换密码完成之前，暂停浏览器扩展对受影响域名的自动填充，以及一切共享会话。

第 2 到 12 小时：按优先级更换密码

不要按字母顺序更换。按可能造成的损害来排序：

1. 能动钱的凭据：银行、支付服务商、薪资系统。
2. 身份根基：域名注册商、DNS，以及身份提供方本身的管理员账户。
3. 基础设施根基：云账户、CI/CD、代码托管。
4. 长期有效的机器机密：API 密钥和令牌。它们不会自行过期，而且正是 AI 智能体与各类集成最常持有的东西。
5. 这次泄露波及到的其余一切。

每换完一处，就在服务允许的情况下撤销活动会话和刷新令牌；换掉一个密码，并不会把已经在线的攻击者踢下线。

第 12 到 24 小时：拿出证据，并且说出来

• 用记录而不是记忆来证明已经做完。只可追加的审计日志无需逐个问人，就能回答“最近谁访问过这条凭据，消息曝出之后还有人动过它吗”。审计轨迹存在的意义，就是为了这一刻。
• 把改动了什么告诉你的团队；如果客户数据也在范围之内，请按你所负的通知义务来做，而不是按你觉得舒服的程度来做。
• 在一周之内安排复盘：哪一步慢了，哪条凭据没有归属人，接下来要修的是什么。

这条新闻在向你追问的那个尴尬问题

每一次登上头条的泄露，同时也是在追问你自己的供应商：如果被攻破的是他们，攻击者会拿到什么？如果诚实的答案是“我们的明文”，那么该修的是架构，而不是流程。零知识保管库把答案换成“他们打不开的密文”，这正是我们把 Keyvaci 做成连我们自己都读不到你所存内容的原因。更换密码的演练依然重要；但更少需要用到它，才是更好的状态。