账号安全自查方法；登录记录比密码更早露馅

密码没泄露，不代表账号就是干净的。这句话我跟人说过太多回——大家一提高危账号，第一反应都是「我密码没给别人啊」，可真正露馅的地方常常不在密码，在登录记录。当前登录的设备、最近活跃的会话、别处的 IP，这些东西比密码诚实得多：密码可以背着你被复制走，登录记录不会，它只是把发生过的事摆在你面前。这篇讲的账号安全自查方法，就是从这些痕迹倒着往回查，而不是抱着密码猜。

账号安全自查方法第一步，把登录记录调出来

正经一点儿的平台基本都留了这个口子。微信在「设置-账号与安全-登录设备管理」，QQ 在安全中心那边，Google 账号的安全页能看到最近的设备与活动，GitHub 是 Settings → Sessions，各类云厂商控制台一般在账号安全或者操作审计里能翻到登录记录，具体位置以各服务商或官方页面说明为准。要点不是「有没有这功能」，是「你会不会点进去看一眼」。很多人账号注册了好几年，那一页从来没打开过。

登录记录里该盯哪几行

先看设备型号。出现一堆你从没用过的安卓机型，尤其是名字长得像乱码的那种，基本可以开始警觉了。再看地点和时间：地点跟你活动轨迹对不上的，时间落在你睡觉那几个小时的，都值得点开看细节。还有一种最隐蔽的——登录成功，但之后没有任何操作，那可能只是被人拿来验了一次密码，试完就走。

另外别忘了「活跃会话」这一栏。有些平台登录一次就留一个长期有效的 cookie，你改了密码，老会话照样能用。自查的时候这一格最容易被漏掉，但它恰恰是别人正在用你账号的直接证据。看到不认识的会话，先踢掉再说，别研究它怎么来的。

异地登录别急着改密码

运营商出口飘、手机流量走代理、公司统一出口、开了加速器，都能让你在自家城市显示成别的省份甚至别的国家。我自己遇到过一次，登录记录里挂着海外 IP，折腾了半天，最后发现是浏览器插件在跑代理，白紧张一场。

判断的办法是看节奏，不看单点：同一个陌生 IP 连着出现几次，而且都在你没上网的时间段；或者地点跨度大到物理上不可能，比如两小时内从南跳到北。单次异地不用慌，连续且有规律才要当回事。顺便说一句，别太信 IP 归属地精确到什么街道，那玩意儿的误差能到一个城市，实际以查询服务商的口径为准。

密码这块，长度优先，别复用

密码修改没什么玄学。够长、别复用、别用键盘上挨着的键。真正要命的是复用——一个不起眼的小论坛被拖库，同一套密码能顺藤摸瓜开到你的邮箱、后台，甚至云控制台。改的顺序也有讲究：先改能改别人密码的那个，也就是主邮箱和手机号绑定的账号，再往下改。顺序反了，你下面全换完，上面还被人攥着。

授权列表，比密码更容易被忘

这一格很多人根本没意识到它存在。用某个小工具「一键登录」，等于把一份长期通行证递了出去，之后它能不能读资料、发消息、看联系人，全看你当初随手点了什么。自查时顺手过一遍：不认识的、半年没碰的、来源说不清的，全撤掉。这类授权一般不在密码那一页，得单独去找，各平台位置不一样，找不到就搜「已授权应用」这几个字。

二次验证开了也别当护身符

短信验证码能用，但它依赖运营商那一环，换号、补卡、短信被转发，现实里都发生过。有条件上验证器 App 或者硬件密钥，退一步至少把恢复邮箱和备用码理清楚——恢复邮箱挂在一个你半年不登的旧邮箱上，后面找回账号能把你耗死。备用码打印出来放抽屉，比截图存在同一个手机里靠谱得多。

子账号、共享密码、一家人共用一个号

团队里最常见的做法是把主账号密码发群里，出了事谁也说不清是谁干的。支持子账号和权限分配的平台，短期给权限、用完收回，比共享密码干净。家里共用一个视频会员不算事，但共用一个能付钱的账号，就得想一下了。还有把密码记在备忘录、靠手机云同步的那种，相当于钥匙和门牌号装在一个信封里。

真发现异常，按这个顺序处理

第一，把所有会话踢掉，改密码不一定能踢，得手动点「退出所有设备」；第二，从主邮箱往下改密码；第三，撤销不认识的第三方授权；第四，确认恢复邮箱、恢复手机号没被改过；第五，翻一遍转发规则和自动回复——邮箱被盗最常见的后手就是设一条转发，来信被悄悄转走，你在收件箱里根本看不出来；第六，账号绑了支付的，看一眼账单和卡。

别急着先发个动态说自己被盗号了。有人会趁你还没处理完，拿你的号给联系人群发消息，这叫二次收割，比第一次还麻烦。

账号安全自查方法说到底就是件笨事：定期花十几分钟，把登录记录、活跃会话、授权列表、恢复方式这四处翻一遍。它不保证你永远不出事，但能让「出事」早几天被你发现——早几天，差别很大。第一次做完把该改的改掉，然后在日历上留个每季度一次的提醒，别指望自己记得。