点了老朋友的邀请邮件，不小心输入了密码：你的邮箱、云盘，信用都落贼手，怎么办？

JamesZ

你一向很谨慎。邮箱里看到可疑的邮件，标题再诱人、语气再着急，你也知道那有可能是钓鱼，果断删掉，从不多看一眼。

但有一天，一封不太一样的邮件来了。发件人是一个老朋友，说有个邀请，想请你看看。老朋友会有什么高兴的事呢？是搬家、结婚、孩子升学，还是个老同学聚会？你心里一动，手指就先点了下去。

点开之后，页面要你“用自己的邮箱注册打开”。要是平时，你也会有疑心：好好的邀请，为什么要先注册、为什么要输邮箱密码？可这次，你的警惕似乎关闭了——这是老朋友啊，能有什么问题？你顺手输入了邮箱ID和密码，按下确认。

然后，你忽然清醒了：不对劲。

这时候该怎么办？先说一句：别慌，但要快。骗子拿到密码后，自动程序几分钟内就会尝试登录、改设置、翻你的邮件、给你的联系人发同样的“邀请”。你每快一步，损失就小一分。下面按顺序做，越往前越重要。

第一步：先 logout 全部 active 的登录，再改密码

这是最容易被误解的一点：改密码只在“登录那一刻”验身份。登录成功后，服务器会发一个登录令牌（session token）存在浏览器或 App 里，之后每次访问凭令牌就行，不用再输密码。很多服务商改密码时并不会自动作废已经发出去的令牌。所以贼如果手里有偷来的 token，你改完密码，他照样能再登进来，甚至能绕过两步验证——因为他根本不走登录那一步。

所以顺序不能反：先强制登出全部 active 的登录（Sign out everywhere），把所有令牌作废，再改密码。先做这一步还有一个原因：贼如果还在线，你改密码、改设置，他可能在另一边再改回去。

去哪里找 active sessions，怎么登出：

- **Gmail**：打开 myaccount.google.com → 左侧“安全”→“您的设备”→“管理所有设备”，逐个登出不认识的设备；也可以在 Gmail 收件箱最底部点“详细信息”，选“登出所有其他网页版登录”。注意：Google 改密码会登出几乎所有地方，但验证设备、部分第三方应用例外，所以还要去“第三方应用访问”（myaccount.google.com/linkedapps）里清掉不认识的授权。
- **Outlook / 微软账号**：打开 account.microsoft.com →“安全”→“高级安全选项”→ 点“在所有位置注销”（Sign out everywhere），作废全部 active 的登录。微软说明生效最多可能要 24 小时，期间留意“登录活动”页有没有新的异常登录。
- **Apple ID**：打开 appleid.apple.com →“设备”，移除不认识的设备。
- **其他邮箱和服务**：一般都在账号设置的“安全 / 登录活动 / 已登录设备”里，找“登出全部设备”“撤销全部 active 登录”之类的按钮。没有这个按钮的服务，改密码后要去找客服，要求从后台作废 active 的登录。

同时撤销应用专用密码和第三方授权：贼可能在你账号里建了一个 app password，或授权了一个恶意应用走 OAuth——这些都不用你的密码就能进，去“第三方应用访问”里全部清掉不认识的。

做完过几分钟，再看一次 active 登录列表。如果贼的 active 登录又出现了，说明还有没清掉的持久化手段（某个授权应用、API 令牌、邮箱委托权限），顺着这个线索找；实在清不掉，就联系邮箱官方客服，要求从后台作废 active 的登录。

第二步：立刻改密码，用“干净”的路进去

不要再点那封邮件里的任何链接。直接在浏览器地址栏自己输入邮箱官网地址（比如 mail.google.com 或 outlook.live.com），或者打开手机上官方的邮箱App，登录后马上改密码。

新密码要和以前完全不同，最好是一长串别人猜不到的、只用在这个邮箱上的密码。如果用密码管理器生成一个，就更好了。

如果已经登不上去——很可能是对方已经改了密码——立刻点“忘记密码”，走官方的找回流程，用绑定的手机号或备用邮箱验证身份。动作越快，找回的希望越大。

第三步：马上打开两步验证（2-factor authentication）

改完密码，顺手就把两步验证（2-factor authentication）打开。首选验证器App（如 Google Authenticator、Microsoft Authenticator）或安全密钥，其次才是短信验证。有了这一步，就算密码再泄露一次，对方没有你的手机也登不进来。

同时检查一下：账户里绑定的备用邮箱和手机号是不是你的。如果被人改成了陌生的地址，立刻改回来。

第四步：查“隐蔽的后门”——转发和过滤规则

这是很多人改完密码就以为万事大吉、却最容易漏掉的一步。拿到邮箱的骗子常常不急着改密码，而是偷偷加一条规则：把你的邮件自动转发到他的邮箱，或者把银行、验证码之类的邮件自动删除、移到别的文件夹。这样即使你改了密码、登出了全部 active 的登录，他还能继续偷看。

去邮箱设置里逐项检查：
- 邮件转发地址，是不是你自己的；
- 过滤器和规则，有没有你没设过的、写着“转发”“删除”“跳过收件箱”的规则；
- 回复地址（Reply-to）有没有被改成陌生邮箱；
- 授权的第三方应用，把不认识的全部撤销授权；
- 有没有设置自动回复，或者委托了别人管理你的邮箱。

发现任何一条不是你设的，立刻删掉。

第五步：看看对方已经干了什么

打开“已发送”和“垃圾箱”看一看：有没有以你的名义发出去的邮件？有没有被删掉的重要邮件？再看通讯录有没有被导出、联系人有没有被群发。

如果发现已经有人收到以你名义发的“邀请”，马上用电话、微信等别的渠道告诉他们：不要点，那是我邮箱被盗后发出去的。越早说，越少人中招。

也别忘了告诉那位“老朋友”本人——同样用电话或微信，不要回那封邮件。他的账号很可能也被盗了，或者发件人名字是冒充的。他也需要改密码、开两步验证。

因篇幅限制，文章第二部分见回复。

JamesZ

第六步：如果是 Google 账号，还要查云端硬盘（Google Drive）

一个 Gmail 账号不只是邮箱，同一个账号还管着 Google Drive、Google Photos。贼登进来之后，不光能看邮件，还能把云盘里的文件整个下载走——甚至用 Google Takeout（takeout.google.com）一次把 Gmail、云盘、照片、通讯录全部打包导出。所以保住邮箱之后，云盘也要查一遍。

先说一个要命的实话：个人 Gmail 账号查不到“谁下载了我的文件”。Google 只给公司、学校用的 Workspace 账号提供下载记录；个人账号能看到的只有文件的活动记录（谁编辑、移动、分享、改名），看不到谁打开、谁下载过。分享设成“知道链接的人都能看”就更查不到——匿名打开不留记录。所以别拿“没看到异常”当安全，该当作“可能已经被拿走了”来处理。

按这几项查：

- 打开 drive.google.com，看“最近”：按修改时间排一遍，有没有你没动过的文件被改名、移动、删除、分享。
- 挑重要的文件（身份证、护照、税表、银行账单的扫描件），点右键 →“查看详情”→“活动”，看有没有你没做过的编辑、分享、移动记录。
- 查分享：重要文件和文件夹点“共享”，看都有谁有权限，把不认识的人移除；设成“知道链接的人都能查看”的，关掉链接分享，改回只限指定的人。
- 看“回收站”：贼可能删了文件，先看一眼再清空。
- 看“与我共享”：有没有陌生人共享给你的文件，别打开，可能是下一轮钓鱼。
- 查 Google Photos：同一个账号的照片也要看，photos.google.com →“共享”，取消不认识的共享相册和“合作共享”（partner sharing）。照片里常有证件照、孩子学校信息，都是敏感信息。
- 查第三方应用：回 myaccount.google.com →“第三方访问权限”，把有 Drive 权限又不认识的应用撤销掉。

如果云盘里确实放过身份证、护照、税表、银行对账单这类东西，就按“身份信息已经泄露”来办：第八步的锁 credit 和 fraud alert 一定要做，信用报告也要拉出来核对。

以后别把身份证、护照扫描件明文存在云盘里，实在要存，先加密或放在有加密的本地存储里。

第七步：改掉所有用过同一个密码的账号

如果你这个密码还在别的网站用过（很多人都会），那些账号现在也都不安全了。优先改：网上银行、支付工具、购物网站、社交账号、云盘。改的顺序按“钱和身份”排：先银行和支付，再邮箱、社交、工作账号。

顺手检查一下银行和信用卡最近的交易，有没有不认识的消费或转账。发现异常立刻打银行电话冻结、申诉。也可以顺手打开交易提醒，以后每一笔消费都有短信或推送。

第八步：锁住信用，加一个免费的欺诈提醒

贼可能已经从你的邮箱里翻到了个人信息——姓名、生日、社安号、地址、银行账单，拿这些就能冒你的名开信用卡、贷款。所以光保住邮箱还不够，还要堵住“用你的身份开新户”这条路。

先说最管用的一招：锁 credit（credit freeze，信用冻结）。冻结后，任何人（包括贼）都没法用你的信息开新信用卡、贷款，因为放贷方拉不到你的信用报告。已有的账户和信用分数不受影响。

- **免费**：2018 年联邦法律规定，三大局的冻结、临时解冻、永久解除全部免费。注意局方网站会推销付费监控服务，不用买，冻结本身不要钱。
- **必须三家分开办**：在一家冻结不影响另外两家，放贷方可能查任意一家，漏一家就留一个口子。每家网上约 10 分钟，三家一共 15 分钟左右。
- **怎么办**（网上最快，直接在浏览器输入网址，别点邮件里的链接）：
  - **Equifax**：equifax.com/personal/credit-report-services/credit-freeze，电话 (888) 298-0045
  - **Experian**：experian.com/freeze/center，电话 1-888-397-3742
  - **TransUnion**：transunion.com/credit-freeze，电话 800-916-8800
  - 需要提供姓名、社安号、出生日期、现住址做身份验证。
- **生效时间**：网上或电话申请，一个工作日内生效；冻结一直有效，直到你自己解除，不会自动过期。以后自己要办贷款、租房、开卡时，问清对方查哪一家，只临时解冻那一家几天就行，网上解冻一小时内生效。

再加一层保险：fraud alert（欺诈提醒）。和冻结不同，欺诈提醒不锁报告，而是告诉放贷方“开户前必须先打电话核实本人身份”。冻结更强，提醒是多一层保险，两者可以同时做。

- **免费**，而且**只用联系一家**：法律规定你联系的那家局必须通知另外两家，一次申请，三家都生效。
- **两种**：
  - **Initial fraud alert（初始提醒）**：有效期 1 年，到期可续。只要怀疑自己可能成为受害者就能办，不用证明已经被盗。
  - **Extended fraud alert（延长提醒）**：有效期 7 年，需要提交身份盗窃报告——在 IdentityTheft.gov 向 FTC 报案，或报警拿到 police report。办了这个，头 12 个月内每家局可免费再拿两份信用报告，并且 5 年内不会收到预批信用卡之类的推销。
- **联系方式**（任选一家）：Equifax 1-800-525-6285，Experian 1-888-397-3742，TransUnion 1-800-680-7289；网上也能办。
- 另外可以去 annualcreditreport.com 免费拉三家的信用报告，看贼有没有已经用你的信息开过户。

第九步：举报这封钓鱼邮件

在邮箱里把那封邮件标记为“钓鱼”或“垃圾邮件”，邮箱服务商会据此封掉类似的骗局。Gmail、Outlook、雅虎都有“报告钓鱼”入口。

还有一个专门报告钓鱼的地址：把那封骗了你的邮件转发到 **reportphishing@apwg.org**。这是反钓鱼工作组（Anti-Phishing Working Group，APWG）的举报邮箱——安全公司、执法部门和科技公司组成的联盟，你的举报会进他们的共享数据库，帮助封掉钓鱼网站、提醒其他人。转发时如果你的邮箱支持“作为附件转发”（Forward As Attachment），就用这个方式——这样能把完整邮件头（发件服务器、验证信息）一起发过去，APWG 更容易追踪钓鱼网站。

别只发这一处，顺手做全套：先在邮箱里点“举报钓鱼”；再转发一份到 reportphishing@apwg.org；如果损失了钱或身份被盗，去 ReportFraud.ftc.gov 向 FTC 报案，严重的再去 FBI 的 ic3.gov。

举报不是多余的动作：你的邮箱服务商封掉一个钓鱼域名，可能就是帮下一个收到同样邮件的人挡了一刀。

第十步：如果还下载了东西，就查毒

如果那天你只是输了密码、没下载附件，设备中毒的可能性不大。但如果你还点过附件、装过什么“查看邀请要装的插件”，那就立刻用杀毒软件全盘扫描一次，必要时找懂行的人帮忙。

还有几件不要做的事：
- 不要再点那封邮件里的“退订”或任何链接；
- 不要回复那封邮件去质问对方；
- 不要觉得“反正已经输了，改不改无所谓”——改密码永远不晚；
- 不要因为丢脸就不告诉朋友——骗子最喜欢的，就是受害人沉默。

为什么偏偏这次中招了？

不是因为你不小心，而是因为骗子打的不是技术牌，是人情牌。平时那些“中奖了”“账户异常”的邮件，你一眼就识破，因为它们和你没关系；可“老朋友的邀请”不一样——它绕过了你的理性，走了感情和好奇心。骗子要么盗了朋友的账号群发，要么干脆把发件人名字改成你朋友的名字，赌的就是你那一秒的放松。

所以真正管用的防备，不是“永远不点”，而是多一道习惯：凡是邮件里让登录、输密码的，先停一下；用另一个渠道问问朋友本人，或者自己打开官方App再操作。密码管理器也能帮上忙——它只在真正的官网域名下自动填密码，到了假网站，它填不出来，这本身就是一次提醒。

最后说一句：谨慎的人也会有松懈的一秒，这不丢人。一次失误不等于全盘皆输，关键是输完密码之后的那十分钟你做了什么。登出全部 active 的登录、改密码、开验证、清规则、查云盘、锁信用、告诉朋友——这几件事做完，大多数损失都还能追回来。

愿你以后再收到老朋友的邀请，点开的都是真正的喜事。

欢迎把这篇文章分享给你的朋友们——也许能帮他们躲过同样的一秒松懈。