撞库攻击（Credential Stuffing）是一种大规模自动化的账户入侵攻击方式，攻击者利用从历史数据泄露事件中获取的海量用户名和密码组合对，通过自动化工具批量尝试登录其他不相关的网站和服务。由于大量互联网用户习惯性地在多个平台重复使用相同的密码，这种攻击的成功率通常维持在 0.1% 到 2% 之间，看似比例不高但在数百万级的尝试基数下意味着大量账户被成功入侵。 攻击者使用专业的自动化攻击工具（如 Sentry MBA、OpenBullet、SilverBullet 等）将从暗网购买或公开泄露的凭据列表逐一尝试登录目标网站。为规避基于 IP 的速率限制和地理位置异常检测，攻击流量通常通过大规模住宅代理池进行分散，并精心模拟正常用户的浏览器指纹、请求间隔和行为模式。 短链接服务面临的撞库攻击风险尤为严重且影响广泛：攻击者成功接管用户账户后可以篡改现有高流量短链接的目标 URL，将大量无辜用户的点击流量静默重定向到钓鱼网站或恶意软件分发站点；或者利用被盗账户的信誉度批量创建看似合法的钓鱼短链接绕过平台的安全检测。一旦拥有大量点击量的品牌短链接被篡改，影响范围和品牌损害可能极其巨大。 多层防御措施应当包括：对所有用户账户强制实施多因素认证（MFA）作为最基本的防线；部署基于机器学习的异常登录行为实时检测系统；实施智能的渐进式延迟和临时账户锁定策略；主动监控已知泄露凭据数据库（如集成 Have I Been Pwned API）并强制要求受影响用户重置密码；对短链接目标 URL 的任何修改操作实施额外的身份验证步骤确认。