账号被盗了:如何发现、如何找回,以及如何巩固安全成果

被盗账号很少以更改密码的方式宣告自己:大张旗鼓的夺取对窃贼不利。更常见的是安静的访问:有人读您的邮件、翻看聊天,账号等待时机群发垃圾信息或转走资金。所以一半的工作是及时发现他人的存在,另一半是按正确顺序快速行动,不给窃贼站稳脚跟的时间。本文就是这个顺序:从迹象到事后清理。

他人访问的迹象

• 会话和设备。任何大型服务的安全设置中都有活动会话列表:陌生城市或设备不是“定位故障”,而是信号。
• 邮件被他人读过,消失或出现在已发送中。另外检查转发规则和过滤器:悄悄把副本转发出去是常用手法。
• 您没做过的登录或资料变更通知,包括您没有登录时收到的“您的登录验证码”:有人已经拿着您的密码站在门口。
• 以您名义的活动:发给朋友的消息、点赞、广告、贷款申请。
• 恢复资料被更改:设置中陌生的备用邮箱或号码就是准备好的后门。

最初 30 分钟,访问权还在您手中

1. 把密码改成新的,其他地方都没用过的。如果其他地方也用了同一密码,也要改掉:在各服务上尝试泄露的账号密码是主要的入侵方式。
2. 用“退出所有设备”按钮结束所有会话:即使窃贼正在里面也会被踢出。
3. 启用第二因素,最好是验证器应用:如何选择见双因素认证一文。保存备用码。
4. 检查并恢复您的恢复资料:邮箱、手机、密保问题。
5. 逐一检查转发规则、过滤器、已绑定应用和已授予的访问权:一切陌生的都删除。

顺序正是如此:密码、会话、因素、恢复、清理。如果先清理,窃贼就有时间自己改密码,接下来就是更难的局面。

如何比别人更早发现被盗

不要等迹象,自己主动检查更有用。密码管理器和浏览器内置泄露检查:把您保存的密码与已知数据库比对,并标出已泄露的。大型服务的安全页面显示数周的登录历史:每月花五分钟查看,就能在造成损失之前发现安静的访问。登录和设置更改通知即使烦人也别关,放在显眼的位置:这是您的警报,它的沉默也是信息。

密码已被人改掉

前往服务的访问恢复表单:大型平台有单独的“账号被盗”路径,依据恢复资料和历史记录。请从常用设备和常用网络回答:系统会考虑申请来自哪里,家庭地址能提高可信度。旧密码、账号大致创建日期、绑定的银行卡和地址都有帮助:都是真正所有者记得而窃贼不知道的。同时通过其他渠道提醒亲友:账号在别人手中时,一定会有人以您的名义向整个通讯录借钱。如果其他服务通过这个邮箱恢复,请立即在那里解绑,或用第二因素加固:“邮箱,然后是其他一切”这条链,窃贼已经解得轻车熟路。

如果涉及资金,在恢复的同时行动:银行访问被盗时,致电银行冻结银行卡和访问权,记下时间和金额。工作账号要立即通知管理员:公司有您没有的手段,从重置会话到吊销令牌。“我上当了”的羞耻感在这里是最糟的顾问:说得越早损失越小,安全人员非常清楚这一点。

找回后的清理

也要查清原因:密码从哪里泄露的。在被黑服务上重复使用、我们在钓鱼分析中写过的钓鱼页面、设备上的恶意软件:每种原因都有各自的预防办法,否则事情会重演。在最后一次更改密码之前,用杀毒软件检查您常用于登录的设备:如果上面有拦截程序,新密码会去往旧密码去过的地方。

把这次事件变成一次升级:使用唯一密码的管理器、所有重要账号启用第二因素、有通行密钥的地方就用。被盗过一次的账号有了这样的保护,比从未被盗的更坚固:您现在既有动力也有计划。这篇文章有一半您再也用不上了,这就是它最好的结果。