账号被盗后我帮人追回的72小时：那些踩过的坑和救回来的号

凌晨两点那条异地登录提醒，往往只是开始

上周三凌晨，一个做跨境电商的群友给我发截图，说手机弹了条Facebook登录提醒，地点显示在越南胡志明市。他当时半梦半醒点了「不是我」，翻个身继续睡。第二天早上再打开App，密码已经不对了，绑定的邮箱收到一封「你的邮箱已成功更换」的通知——那个邮箱他压根没见过。

这种开局我见过太多次了。很多人以为点了「不是我」就安全了，实际上那一下只是告诉系统拒绝这次登录，盗号者如果已经拿到你的密码和会话令牌，换个IP重来一遍就行。真正要命的是后面那封邮箱更换通知，它意味着对方已经进了账号设置，拿到了改绑权限。

我让他立刻翻注册邮箱的收件箱，找到Facebook发来的「更改邮箱」确认邮件，里面有个「撤销此更改」的链接。不幸的是距发送已经过去9小时，链接显示已失效。他试了3次，都跳回登录页。到这一步，常规自助通道基本堵死了，只能走账号恢复申诉。

之前遇到过更急的情况，一个做独立站的女生，号被盗后对方直接用她的主页投放了广告，绑定的信用卡被刷了280美元。她发现时已经过了48小时，Facebook的广告审核团队倒是反应快，但钱要追回来得单独走争议流程。所以异地登录提醒这事，别当骚扰短信看。

盗号的人到底怎么进来的，我复盘出三条主要路径

处理过的案子里，粗略统计一下，大概六成是密码复用惹的祸。有个用户就是这种情况，他拿同一个密码注册了十几个平台，其中一个小论坛被拖库，攻击者拿邮箱密码组合去撞Facebook，一次就中。撞库工具现在都是自动化的，一个晚上能试几万个组合，你的密码只要在别的站泄露过，基本等于裸奔。

还有两成左右是钓鱼页面。做得跟Facebook登录页一模一样，域名差一两个字母，通过Messenger或者短信发过来，说你的主页有违规需要验证。输完账号密码，页面转一圈跳回真Facebook，你甚至以为自己登录成功了。实际上凭证已经发到对方服务器。这种页面我见过连双重验证都能骗，它会实时弹一个验证码输入框，你填什么它转手就提交给真Facebook。

剩下的是会话劫持和恶意扩展。有人装了所谓的「主页管理助手」浏览器插件，权限一要就是读取所有网站数据，Cookie直接被导出。这种情况最隐蔽，因为密码没改、邮箱没动，但攻击者拿着会话令牌就能以你的身份操作，连验证都不用。

所以每次有人问我为什么被盗，我第一句都问：你最近有没有在别的网站用过同一个密码？有没有点过Messenger里陌生人发的链接？这两个问题能覆盖八成案例。

申诉通道不是只有一条，但每条都有脾气

账号彻底登不进去的时候，Facebook会给你几个选项：用邮箱或手机收验证码、用可信联系人验证、提交身份证明。听起来挺全，实际用起来各有各的坑。

收验证码这条路，前提是盗号者没把邮箱和手机都改掉。我经手的案例里，对方如果只是改了密码没动联系方式，那还有救。有个用户就是这种情况，邮箱还在自己手里，点「忘记密码」收验证码，重置完进去发现对方已经加了两个陌生设备为可信联系人。他花了20分钟把那两个设备踢掉，又改了密码开了双重验证，前后不到半小时搞定。这种情况算幸运的，概率我估摸三成左右。

可信联系人验证是另一条路，但要提前设置过才行。Facebook允许你选3到5个好友作为可信联系人，每人会收到一个验证码，凑齐指定人数就能证明身份。问题在于大部分人根本没设置过这个功能，等到号被盗了才想起来，已经来不及。我印象里只有两个用户提前配过，一个用了4个小时走完流程找回，另一个因为好友没及时看消息拖了一天半。

身份证明申诉是最慢的，上传身份证或护照，等Facebook人工审核。官方说法是24到48小时，实际体验下来，快的18小时有回复，慢的拖到第5天。有个用户的申诉被驳回了两次，理由都是「提交的证件照片不清晰」，第三次他换了张光线好的、四个角都拍全的才过。整个过程从被盗到找回用了6天。这期间他的主页还在发诈骗链接，好友收到一堆借钱消息。

顺便说一句，如果你连注册邮箱都进不去了，那得先把邮箱找回来。邮箱这块的处理逻辑跟账号本身不太一样，我在这篇关于改邮箱和找回的实操记录里写过更细的步骤，可以参考。

双重验证开了也不一定保险，这几种情况我亲眼见过

很多人以为开了双重验证就高枕无忧，实际处理下来，至少有三类场景能绕过它。

短信验证码拦截算一类。攻击者通过运营商漏洞或者伪造基站截短信，这种在部分国家和地区确实发生过。我遇到过一个案例，用户的短信验证码在输入前就被用了，他收到码的时候其实已经失效。后来查登录记录，对方在另一个城市同时操作。这种情况概率极低，但碰上了就很麻烦，只能走身份证明申诉。

第二类是「信任设备」被利用。Facebook有个功能，在常用设备上登录可以跳过双重验证。如果你的电脑中了木马，攻击者直接在那台设备上操作，双重验证根本不会触发。有个做设计的用户就是这样，电脑上装了个破解版软件，里面捆了远控，对方在他电脑上登了三天他都没发现，直到手机收到「你的账号在新设备登录」的邮件才反应过来。

第三类是恢复码泄露。开双重验证的时候Facebook会给一组恢复码，让你打印或者存下来。很多人随手截图放相册或者丢在备忘录里，手机一旦被入侵或者云同步账号被盗，这组码就成了后门。我一般建议把恢复码存到离线的地方，别跟账号密码放同一个地方。

说到双重验证，验证器App比短信稳，这点没什么争议。但要注意换手机之前先把验证器迁移或者重新绑定，不然旧手机一扔，新手机收不到码，又得走申诉。之前有个用户换iPhone没迁移验证器，折腾了整整两天。

号找回来之后的那几个小时，比申诉本身更关键

大部分人号一找回就松了口气，改个密码完事。我每次都会盯着他们做完下面这几步，因为二次被盗的比例不低，我手上至少五个案例是找回后一周内又被同一拨人搞进去的。

先看登录设备列表，把所有不认识的设备踢掉。路径在设置里的「安全和登录」，能看到最近登录过的手机、电脑、平板，包括浏览器和系统版本。有次我帮一个用户看，里面挂着6台设备，他自己只认得2台。剩下4台全踢，一个不留。

然后检查邮箱和手机号有没有被改回来。盗号者有时候会留一个备用邮箱做后门，表面上主邮箱改回来了，但辅助邮箱还是对方的。这个在「联系方式」里能看到，多出来的全部删掉。有个用户就是漏了这一步，三天后对方通过备用邮箱又重置了密码。

接着看主页和广告账户有没有被加管理员。做电商的那位群友，号找回后发现主页多了两个不认识的管理员，对方在他号被盗期间拉了同伙进来。他光踢设备没用，得把主页管理员权限也清了。广告账户还要检查付款方式有没有被绑新卡，他那个280美元的扣款就是对方绑了张虚拟卡跑广告跑出来的。

最后把双重验证重新设置一遍。别用原来的验证器密钥，重新生成。恢复码重新存。密码换一个没在任何地方用过的，最好用密码管理器生成。这一套下来大概20分钟，但能把二次被盗的概率压下去一大截。

顺带提一句，如果你平时运营多个号，日常操作里有些习惯能降低出事概率。我在日常运营复盘里列过几条，包括登录环境别频繁跳、别用同一个浏览器登所有号，有兴趣可以翻翻。

那些找不回来的号，后来都怎么样了

不是所有号都能救回来。我经手的案子里大概有两成最终没找回来，原因五花八门。

最常见的是注册信息太假。有些人注册的时候随便填的生日、假名字，申诉时Facebook让提交身份证明，证件对不上注册信息，审核直接拒。这种情况基本无解，因为平台没法确认你是号主。有个用户用了五年的号，注册时名字拼错了两个字母，申诉三次都被驳回，最后只能放弃。他那个号绑了主页和广告账户，损失不小。

另一种是账号被彻底删除。盗号者进去之后如果直接触发注销，Facebook会给你30天冷静期。这30天内登录一次就能撤销注销，但前提是你得能登录。如果对方改完密码又注销，而你又过不了申诉，30天一到号就没了。我遇到过两个这种情况，都是发现太晚，申诉流程还没走完号已经消失了。

还有一类是被封停。盗号者拿你的号发违规内容、加大量陌生人、群发诈骗链接，触发了Facebook的风控，号直接被封。这时候你得先申诉解封，再走找回流程，两件事叠在一起，耗时翻倍。有个用户的号被盗后对方群发了200多条钓鱼消息，号被封了14天，等解封再找回，前后折腾了将近三周。

所以有时候与其死磕一个找不回来的号，不如早点准备替代方案。我一般会建议手头备一个能随时启用的号，别把所有业务绑在一个账号上。这类账号现在也有现成的可以直接买，比如有一定注册时长的老号，拿来应急过渡比从零养号快得多。当然买号也有买号的坑，得挑靠谱渠道，这里不展开。

关于防盗，我平时回答最多的一些零碎问题

群里每天有人问类似的事，我挑几个高频的集中说一下。

密码多久换一次？我的看法是没有固定周期，但只要你听说某个平台泄露了，而你在这个平台用过跟Facebook相同或相似的密码，立刻换。另外别用「名字+生日」这种组合，撞库字典里排前三。

登录提醒要不要全开？要。邮件和App推送都打开。别嫌烦，那条提醒可能是你唯一能及时反应的机会。我见过太多人把Facebook的邮件归类到垃圾箱，等发现号被盗已经过了两三天。

公共电脑登录完退出了就行吗？不够。退出只是清了当前会话，浏览器里可能还留着Cookie。用完记得清浏览数据，或者干脆开无痕窗口。在网吧或者酒店电脑上登Facebook，风险比你想的大。

好友发来的链接能不能点？先打个问号。哪怕是很熟的人，his号可能已经被盗了。Messenger里发来的短链接、让你重新登录的页面，一律先核实。我之前处理过一个案例，就是用户点了「好友」发来的「帮忙投票」链接，输完密码号就没了，然后他的号又开始给其他好友发同样的链接，链条式传播。

最后说一句，号被盗了别慌，先确认邮箱还在不在自己手里，再判断走哪条申诉通道。大部分情况下48小时内能有进展，拖得越久越被动。实在搞不定再找人帮忙看，别自己乱试把申诉次数耗光——Facebook的申诉入口有频率限制，短时间内提交太多次会被锁24小时。

常见问题