账号密码泄露后要通知谁：六个对象与四个时间窗

账号密码泄露之后，绝大多数人的第一反应是「赶紧改密码」，然后就卡住了：改完密码要不要告诉银行？要不要跟公司说？要不要报警？通知晚了会不会有责任？

这篇文章只解决一个问题：要通知谁、按什么顺序、每个对象说清哪几件事。顺序错了损失会放大——先给平台客服打电话、却忘了把已登录设备踢下线，攻击者手里的会话仍然有效，改密等于白改。

一、先判断泄露来源，它决定了通知名单

「账号密码泄露」不是一件事，而是三类场景。

只有「钱可能已经动了」才需要报警。单纯论坛账号被撞库，报警不受理也没意义。

二、通知顺序：六个对象，按这个次序来

这个顺序按「损失扩散速度」排，不是按重要程度，越靠前晚一分钟代价越大。

1. 先通知自己（立刻动手）：改密、退出所有设备、检查登录记录。这是后面所有沟通的前提。
2. 银行与支付渠道：涉及卡号、网银、第三方支付的账号，先冻结或降额，再改密。钱转走要走司法流程，冻结只要一个电话。
3. 邮箱服务商：邮箱是几乎所有账号的「总开关」。即使泄露的不是邮箱密码，也要检查转发规则、恢复邮箱、应用专用密码——这三处最容易被留后门。
4. 同密码的其他平台：撞库是自动化的，一个库泄露几小时内就有登录尝试。
5. 家人与共享对象：家庭共享库、共享会员、共用云盘。他们不知道你出事，下一封钓鱼邮件就可能以你的名义发出。
6. 公司 IT 或安全负责人：只要工作账号、公司邮箱、VPN 用同一套密码，就必须主动说。日志里留的是「你的账号」。

如果只能记住一句话：先止损，再通知；先通知能动钱的，再通知要解释的。 前 60 分钟的具体动作，可以参考密码泄露后的黄金一小时处理清单，这里不重复。

三、四个时间窗：什么时候必须做完什么

「尽快」是最没用的建议，把动作绑到具体时间上才执行得下去。

「报案」不是必经项，判断标准三条：有实际资金损失、身份被冒用注册了账号或办了业务、对方仍持续联系你。都不满足就优先做平台申诉和证据留存，材料清单见密码被盗要不要报警。

四、通知时说什么：四段话模板

多数人卡在「打通电话不知道怎么说」。其实只需三件事：发生了什么、我已做了什么、需要你做什么。

对银行或支付客服：「我的账号密码可能泄露，收到过异常登录提醒。我已经改了登录密码，现在申请临时冻结线上交易并核查近 7 天交易记录。请告诉我需要提供哪些身份材料、冻结多久生效。」

对平台客服：「账号疑似被盗用，已自行改密。请帮我核查登录 IP 与设备记录，并确认是否存在未授权的绑定、授权登录或自动续费。」说「核查记录」比说「我被盗了」有效，因为前者能被直接执行。

对家人：「我的账号可能出问题了，接下来几天收到我发的链接、借钱或要验证码，先打电话确认，不要点。」重点是给一个约定动作。

对公司 IT：「我的个人账号在 X 日疑似泄露，工作账号用的是不同密码，已于 X 时改密并开启双重验证。附件是登录记录截图，需要我配合排查随时说。」主动给时间点能省掉一半追问。

通知的边界：不必通知谁，以及三个误区

通知不是越多越好，以下情况反而增加风险：

• 不要在公开群描述泄露细节，攻击者会顺着补齐信息，这叫二次泄露。
• 不要理会「自称平台客服」的来电，真客服不会索要验证码。
• 不必为无关紧要的论坛账号报警，也不用给每个注册过的网站发邮件。

三个高频误区，几乎是每次都有人踩：

1. 只改密码，不踢会话。 已登录设备靠的是令牌，改密不一定让它失效，必须点「退出所有设备」。
2. 只通知平台，不通知邮箱。 邮箱能收验证码、能改密，邮箱不动，其他都白做。
3. 把「通知」当成「免责」。 通知只是止损，防线是双重验证与不重复用密码。

常见问题

账号泄露但没有任何异常登录，还要通知银行吗？

没绑卡、没有实名支付信息，可以先不打电话，但要改密、开双重验证，同时换掉其他站点的同一密码。绑过卡就按「已泄露」处理，联系银行核对近 7 天交易。

公司账号泄露，主动上报会不会被处罚？

多数公司制度里，主动及时上报是减轻责任的情节，隐瞒才是加重。上报时写清时间线：何时发现、做了什么、还有什么没做。

泄露后收到「帮你找回账号」的私信，能信吗？

不能，这是最常见的二次诈骗：对方手里有你部分信息，能说出你注册过的网站，然后索要验证码或「保证金」。正规找回只有官方入口一条路。

多久之后可以认为这件事过去了？

以 4 周为观察期：前 72 小时止损，之后每周看一次登录记录和账单。4 周无异地登录与陌生授权，基本可判断没扩散到资金层面。

小结

泄露后的通知，本质是一次按优先级排序的止损：先控制账号（改密、踢会话），再按住钱（冻结、降额），然后守住总开关（邮箱），最后才是解释和备案。

把这套顺序做成一页纸贴在抽屉里，比收藏十篇指南有用：真正出事那半小时，能照着念的清单才是好清单。