邮箱被盗了怎么办：先夺回控制权，再清三个后门
邮箱被盗最麻烦的不是「登不上」，而是别人能用你的邮箱重置其他所有账号。所以处置顺序很关键：先夺回控制权，再清后门，最后才去改其他站密码。顺序错了，你在这边改，对方在那边再抢回去。这篇按时间线给步骤，并标出三个最容易被忽略的后门。
先判断：是不是真被盗了
- 收到「异地登录」「新设备登录」提醒，但不是你本人；
- 朋友说收到你发的奇怪邮件或链接，你的「已发送」里却没有；
- 密码突然不对，或安全设置被改；
- 大量退信、订阅确认邮件涌入；
- 绑定的支付、购物账号出现陌生订单。
出现任意两条，就按被盗处理，别等「再看看」。
0～30 分钟：夺回控制权
- 换一台干净设备：用另一台没登录过该邮箱、且确认无木马的电脑或手机操作，避免在已被控制的设备上改密码。
- 走官方找回流程：优先用「忘记密码」，通过备用手机/恢复邮箱验证；如果恢复方式已被改，走人工申诉，准备好注册时间、常用联系人、历史订单等信息。
- 改成一个全新的长密码：不要在原密码基础上改一两个字符；用 16 位以上随机密码或 5 词短语，写法见强密码怎么设置。
- 立刻开启双因素：优先验证器 App 或 Passkey，其次短信。开启方法见两步验证怎么开启。
三个必须翻一遍的后门
| 后门 | 为什么危险 | 怎么查 |
|---|---|---|
| 自动转发规则 | 把你所有来信静默转发给攻击者，你完全无感 | 设置 → 转发/过滤规则，逐条看有没有陌生地址 |
| 第三方授权（OAuth） | 一次授权后，对方不用密码也能读邮件 | 账号 → 安全 → 已授权应用，撤销不认识的 |
| 恢复邮箱 / 备用手机 | 不改它，对方随时能再找回密码 | 账号 → 安全 → 恢复方式，换成你能控制的 |
这三项比「退出所有设备」更关键：退出会话只是把当前登录踢掉，转发规则和授权却能长期存在。很多「改了密码还是被盗」的案例，问题都出在这里。
1 小时内：清理与止损
- 退出所有设备上的登录会话，重新登录常用设备；
- 检查「已发送」和「草稿」，删除攻击者留下的邮件，避免继续发信；
- 检查自动回复、签名、过滤器，恢复成自己的设置；
- 如果邮箱绑定了支付、购物、社交账号，逐个改密码并检查订单；
- 通知常用联系人：近期以你名义发的链接不要点。
24 小时内：排查入侵原因
| 可能原因 | 特征 | 处理 |
|---|---|---|
| 密码复用（撞库） | 其他站也出现异常登录 | 所有复用过的账号全部改密码 |
| 钓鱼页面 | 近期点过「邮箱容量已满」「账号异常」链接 | 改密码 + 查授权 + 全盘杀毒 |
| 设备木马 / 键盘记录 | 改完密码又被改 | 重装系统或用另一台设备操作 |
| 恢复邮箱被控制 | 找回流程走到别人的邮箱 | 换恢复方式，并加固那个邮箱 |
7 天内：收尾
- 观察一周登录记录，确认没有新的异地登录；
- 把重要账号的绑定邮箱改成另一个你控制的邮箱（分散风险）；
- 开启登录提醒，重要操作（改密码、加设备）都通知到你手机；
- 如果涉及资金损失，保留截图与时间线，联系平台客服并报警。
常见问题
改了密码还是被登录，怎么回事？
大概率是后门没清：转发规则、OAuth 授权、恢复邮箱，或者设备本身有木马。按上面三项逐个查，并换干净设备操作。
邮箱被盗，其他账号要全改吗？
要。攻击者拿到邮箱后，第一件事就是用它重置其他账号。优先级：支付/银行 → 主账号（Apple/Google/微信）→ 购物 → 社交。全部改完后统一检查登录设备。
开了双因素还会被盗吗？
会，但难度高很多。常见突破口是「短信验证码被转发」「验证器备份码泄露」「OAuth 授权绕过密码」。所以双因素要配合恢复码离线保存，方法见恢复码怎么保存。
小结
邮箱被盗的处置顺序是：干净设备改密码 → 开双因素 → 清转发规则/授权/恢复邮箱 → 退出会话 → 改其他账号 → 观察一周。记住一句话：先堵后门，再谈改密码。