收到可疑登录提醒、怀疑“有人登录了我的账号”时，不要点提醒里的链接。自己打开官方 App 或输入服务网址，确认是否真有陌生会话，再在可信设备上撤销访问、保护账号。

关键要点

登录地点只是信号，不是单独证据；旅行、就近路由、使用 VPN 和运营商出口都可能改变它。

陌生活跃会话、被改的恢复信息或你不可能做的操作，才是更有力的证据。

先保护主邮箱，再处理依赖它重置密码的账号。

检查会话、恢复方式、转发规则、第三方访问和账号活动，而不只是改密码。

网络安全指南介绍更广泛的账号安全基线；本清单从收到“成功登录”提醒时开始。

怎样核验陌生登录提醒？

不要点消息里的链接。 服务名称和 Logo 再逼真，假提醒也可能是钓鱼。
独立打开服务。 使用已知的官方 App、已保存的书签或手动输入的网址。
查找安全活动或活跃会话。 对比设备类型、浏览器、时间和最近操作，而不只看地点。
判断这次事件是不是你自己。 考虑新设备、重置过的设备、共享电脑、后台应用活动、出行，或地点只是就近估算。
不确定时按保守原则处理。 官方界面提供“不是我”“保护账号”或删除会话选项时，就使用它。

删除已确认的陌生会话前，如安全可行，先记下服务显示的时间戳、设备标签和安全事件编号。只保留有助恢复的内容；不要分享暴露邮箱、恢复资料、备用码或财务信息的完整截图。官方活动日志比复制的提醒横幅更有证明力。

Google 说明，一台设备可能显示为多个会话，后台同步可能让时间戳显得更新，地点也可能只是附近而非精确位置；但只要不确定会话属于你，它仍建议退出。［1］

哪些陌生登录提醒更像真实入侵？

证据	意味着什么	可信度
你不认识的城市或国家	可能是网络路由，也可能是真实的异地登录	单独看较低
陌生设备或浏览器存在活跃会话	另一台设备可能正持有访问权	中到高
密码、恢复邮箱、手机号、MFA 或个人资料被改	有人可能在试图保持控制	高
出现不是你创建的消息、订单、文件或帖子	账号已被使用，而不只是被试探	高
安全设置变更后你被锁在外面	控制权可能已经转移	高

FTC 列出的常见被盗迹象包括陌生设备或地点的登录提醒、非你申请的密码更改、被锁定，以及有消息发给你的联系人。［2］地点不符与其中任一独立变化同时出现时才更有意义。

有人登录了我的账号，应先保护哪一个？

按影响程度和恢复能力排序：

主邮箱。 它能接收许多其他账号的密码重置邮件。
金融和支付账号。 如果交易、银行卡、收款人或提现有变化，立即联系服务商。
云服务、平台和密码管理器账号。 它们可能暴露文件、同步设备或保存的凭据。
社交和即时通信账号。 攻击者可以冒充你去接触联系人。
普通购物、论坛或娱乐账号。 同样要处理，尤其是密码曾被重复使用时。

如果受影响的正是邮箱，请用另一条可信渠道处理银行和工作账号的恢复。FTC 强调邮箱，是因为拿到收件箱的攻击者能为其他服务申请并收取重置链接。

不要让账号“看起来值多少钱”决定整个处置。购物账号可能暴露重复使用的密码，云账号可能暴露同步文件，社交账号则让攻击者能可信地接近你的联系人。恢复能力、存储数据和冒充范围，比订阅价格更能决定被盗账号的优先级。

怎样撤销账号会话并恢复控制？

在服务的官方安全页面上：

退出陌生会话。如果无法确定归属，使用“退出所有会话”或最接近的选项。
把密码改成全新的独有密码，并修改所有重复使用过旧密码的账号。
开启 MFA 或更换已暴露的验证因素。支持时优先选择通行密钥、安全密钥或验证器。
核实恢复邮箱、手机号、备用码、受信任设备和安全问题。
删除不是你添加的登录方式、应用专用密码、通行密钥或设备。
保存服务的恢复工单编号或确认信息。

Google 的设备页面可查看会话，并退出不再拥有或不认识的设备。FTC 也建议恢复后改密码、退出所有设备、开启 2FA 并核实恢复资料。

改密码不一定让所有现有会话失效，还要使用服务明确的会话控制；会话劫持一文解释了为什么有效令牌可以独立于密码存在。

还要检查哪些隐藏变更？

访问稳定后，检查攻击者留下的驻留和滥用痕迹：

邮件转发、过滤规则、代理人、自动回复和已连接的邮件客户端。
第三方应用、OAuth 授权、浏览器扩展、应用专用密码和 API 令牌。
新增的支付方式、收款人、收货地址、订单、订阅或提现。
已发送、已删除、已归档或最近访问过的消息和文件。
社交帖子、私信、新增联系人、广告账号和管理员角色。
可能已被删除的恢复尝试和安全通知。

FTC 特别提到陌生转发规则、已发送或已删除的邮件、社交帖子和从账号发出的消息。只删可疑会话而不查这些变更，攻击者的访问路径或损害可能仍在。

邮箱、金融和社交账号分别怎么办？

邮箱账号

保护恢复设置，删除转发规则，检查已发送和已删除文件夹，然后重置依赖该收件箱的重要账号。如果服务商提供近期安全事件日志，请保存下来。

金融账号

使用官方 App 或银行卡、对账单上印的号码。报告未经授权的活动，按建议冻结或更换受影响的支付方式，并核实收款人、转账目的地、联系方式和通知设置。

社交和即时通信账号

删除陌生会话和第三方应用；先保存有用证据，再删除欺诈帖子；并通过其他渠道提醒联系人。FTC 建议告诉联系人，不要相信账号被盗期间发出的链接或紧急借钱请求。

设备本身是否可能被入侵？

如果陌生登录出现在下载钓鱼文件、远程控制会话、可疑浏览器扩展或恶意软件警告之后，仅恢复账号可能不够。请更新设备和安全软件、运行扫描、删除不可信的扩展或描述文件，并避免在不信任的设备上输入新密码。

还要考虑会话在哪里创建。共享或公共电脑可能残留浏览器数据，但未必被感染；出现陌生管理员、描述文件或扩展的个人设备则要深入检查。两种情况都要在服务端撤销会话；清理一台电脑的本地浏览器，删不掉已被复制到别处的令牌。

如果提醒是唯一异常，官方日志也没有陌生会话或变更，可能无需重置设备。应依据证据处置，而不是把每个大致地点都当作恶意软件。

总结

通过官方服务核验，绝不通过提醒里的链接。
把地点当作一个信号，同时查看设备、会话、变更和活动。
先保护主邮箱和金融账号。
撤销会话、修改重复使用的密码、加强 MFA 并核实恢复方式。
检查转发规则、第三方授权、交易、消息以及对联系人的影响。

常见问题

异地登录就证明账号被盗了吗？

不能。服务可能显示附近城市、运营商出口、VPN 出口或你途经的地方。请结合设备、时间、会话状态、账号变更和活动判断。

要点击邮件里的“不是我”吗？

请改为自己独立打开官方 App 或网站。如果消息是真的，账号内也会出现同一安全事件和相应的处理选项。

应先改密码还是先退出会话？

两件都要做。顺序因服务而异，但不要以为改密码会撤销所有令牌。请使用明确的“退出其他设备”或删除会话的控制。

已经无法登录怎么办？

在可信设备上使用服务商的官方恢复页面。其他账号依赖主邮箱时先恢复主邮箱，并保存工单编号或恢复确认。

为什么要查邮箱转发规则？

即使删除了可见会话，攻击者仍可能把以后的邮件和密码重置转发到别处。请删除不是你设置的规则、代理人或已连接客户端。

账号被他人登录后，需要通知联系人吗？

如果账号发出过消息、帖子或请求，或攻击者访问过联系人列表，就应提醒他们。请他们忽略异常的链接、文件、验证码或借钱请求。

入侵后 MFA 还有用吗？

有用，前提是你已清除攻击者的会话并核实已登记的验证因素。删除不是你添加的因素或受信任设备，再登记一个由你掌控的强验证方式。

安全提醒要删除吗？

在记下时间、设备信息和工单信息之前先保留它。不要依赖提醒里的链接，也避免分享会暴露个人或安全资料的截图。

免责声明：本文提供一般网络安全教育，不构成法律、金融、取证或专业事件响应建议。

来源

Google Account Help — See devices with account access — https://support.google.com/accounts/answer/3067630?hl=en
Federal Trade Commission — How To Recover Your Hacked Email or Social Media Account — https://consumer.ftc.gov/articles/how-recover-your-hacked-email-or-social-media-account

Sources checked 2026 年 10 月 4 日。

延伸阅读：

有人登录了我的账号怎么办？核验提醒、撤销会话和检查邮箱