账号与信息安全

谷歌统计了 35 万次真实的盗号尝试（也叫账号劫持）。一类是靠设备来验证，比如手机上弹窗让你点确认，或者插一把安全密钥。这一类拦下了「超过 94% 源于钓鱼的劫持尝试和 100% 的自动化劫持尝试」。钓鱼是指骗你在假网站上输密码，自动化是指机器拿泄露的密码批量去试。另一类是靠回答问题来验证，比如问你上次在哪登录、备用邮箱是什么。这一类「只拦下了低至 10% 的钓鱼劫持和 73% 的自动化劫持」。同属设备验证，短信验证码比手机弹窗弱。钓鱼的人答对了 4% 的短信验证码，弹窗只骗到 1%。专门盯着某个人的定向攻击里，短信只拦下 76%，弹窗拦下 90%

• · Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). <https://doi.org/10.1145/3308558.3313481>

把别处泄露的账号和密码挨个拿来试着登，这叫撞库，你的邮箱也会被这样试。邮箱一旦被人登进去，所有用它找回密码的账号一起丢。美国网络安全和基础设施安全局的建议是：每个账号用一个不同的强密码，至少 16 位，交给密码管理器存

• · US CISA. Use Strong Passwords. <https://www.cisa.gov/secure-our-world/use-strong-passwords>

手机丢了以后，捡到的人最快的一条路是把 SIM 卡插到别的手机上，收你的短信验证码。有了验证码，他就能一个个重置你的账号。SIM 卡设了 PIN 码，换到别的手机上开机就要先输密码，捡到的人就没法拿它收验证码。工信部 2020 年 10 月通报过一起真事。用户手机被偷后，没及时挂失电话卡，给了不法分子钻空子的时间。不法分子用「手机号加验证码」登录一个政务 App，拿到了用户的身份证号等信息。他们接着改了手机服务密码。用户后来挂失了这张卡，他们又用话术骗电信客服，把卡解挂。最后利用网贷平台「找回密码」的漏洞，重置支付密码，骗走了网贷资金。工信部借这件事提醒用户及时设置 SIM 卡密码，丢了手机第一时间挂失。至于锁屏密码，美国联邦通信委员会的建议是：给手机设一个强密码，限制别人使用。手机丢了或被偷时，它能防止别人乱用产生费用，也能防止你的个人数据被盗用

• · 工业和信息化部 (2020). 工信部提醒！强化个人信息保护意识. 中国政府网转载工信微报，2020-10-22. <https://app.www.gov.cn/govdata/gov/202010/22/464049/article.html>；US FCC. Protect Your Smart Device. <https://www.fcc.gov/consumers/guides/pr

顺序比速度更重要。第一步，挂失 SIM 卡，别人就收不到你的验证码了。第二步，远程锁定手机，并清空手机里的内容。第三步，从电脑上改邮箱和支付密码。第四步，报警，拿回执。最后按需要冻结银行卡。美国联邦通信委员会的提示也是：就算觉得只是弄丢了，也要远程锁住。被偷了马上报警，报上型号和 IMEI 串号（手机的身份编号），并马上告诉运营商

• · US FCC. Protect Your Smart Device. <https://www.fcc.gov/consumers/guides/protect-your-mobile-device>；步骤顺序是作者经验；补办身份证见第 7 节，冒名贷款见第 8 节关于征信的一条

最高法的规定把「谁来拿证据」分开了。你说这是伪卡盗刷或者网络盗刷，要先拿证据。伪卡盗刷就是卡被人复制了一张去刷。这些都能用来证明：已经生效的法律文书、银行卡交易时真卡在哪里、交易发生在哪里。还有账户交易明细、交易通知、报警记录、挂失记录等等。**反过来，发卡银行、非银行支付机构（第三方支付）说这笔是持卡人本人刷的、或者是经他授权刷的，要由它们拿出证据**。你告知银行之后，银行没及时核实，或者没及时提供、保存交易单据和监控录像，证据因此拿不到的，拿不出证据的后果由银行承担。认定成立以后：借记卡（储蓄卡）持卡人，可以要求发卡银行把被盗刷的存款本息付给你，并赔偿损失。信用卡持卡人，可以要求退回被扣走的透支款本息和违约金，并赔偿损失；银行反过来要你还这笔透支款的，法院不予支持。你还可以要求发卡银行及时撤销相应的不良征信记录（全国，2021 年 5 月 25 日起施行）

• · 最高人民法院 (2021). 关于审理银行卡民事纠纷案件若干问题的规定（第四、五、七、十四、十五条）. <https://www.court.gov.cn/fabu/xiangqing/304771.html>

账号里的登录设备列表，记着现在还能用这个账号的手机和电脑。已授权应用列表，记着你准许它用这个账号登录的别家软件。列表里的陌生设备，和早就不用的第三方软件，是最容易发现的痕迹。英国国家网络安全中心把「来自陌生地点或在不寻常时间的登录、登录尝试」列为账号被盗要查的迹象。它还说，犯罪分子常在邮箱里设一条转发规则，寄给你的每封邮件都自动抄一份给他，他就能拿去重置你的密码。它给的处理顺序是：先查掉不明的转发规则，再改密码，然后把所有设备和应用从账号里退出登录。退出之后，别人再想用你的账号，就得输入新密码。美国联邦贸易委员会也建议，拿回账号后退出所有设备，删掉不是你设的转发规则

• · UK NCSC. Recovering a hacked account. <https://www.ncsc.gov.uk/guidance/recovering-a-hacked-account>；US FTC. How To Recover Your Hacked Email or Social Media Account. <https://consumer.ftc.gov/article

法律明写了两条。一是不得以个人不同意、或者撤回同意为由，拒绝提供产品或者服务；处理这些信息属于提供服务所必需的除外。二是收集应当限于实现处理目的的最小范围，只能收用得着的那些

• · 全国人大常委会 (2021). 个人信息保护法. 中国人大网. <http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html>：第六条「收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息」；第十六条「个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服

有几种情形企业应当主动删除：服务停了、约定的保存期限到了、你撤回同意、当初收集的目的已经达到等等。它没删，你可以要求它删。它拒绝你行使这些权利的，必须说明理由。你可以直接向法院起诉

• · 全国人大常委会 (2021). 个人信息保护法. 中国人大网. <http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html>：第四十五条「个人有权向个人信息处理者查阅、复制其个人信息……个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供」；第四十六条更正、补充权；第四十七条列了五种应当主动删除的情形，含「（一）处理目的

人脸识别技术应用安全管理办法写明：「实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式。个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。」办法还写明：「任何组织和个人不得以办理业务、提升服务质量等为由，误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。」要是按你同意来处理人脸信息，得取得「在充分知情的前提下自愿、明确作出的单独同意」：单独就这一件事问你，你单独点头才算。你有权撤回同意，处理者要提供便捷的撤回方式。处理不满十四周岁未成年人的人脸信息，应当取得父母或者其他监护人的同意。公共场所安装人脸识别设备，「应当为维护公共安全所必需」，并设置显著提示标识。宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部，任何组织和个人不得安装。人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输。两种情况例外：法律、行政法规另有规定，或者取得了单独同意（全国，2025 年 6 月 1 日起施行）

• · 国家互联网信息办公室、公安部 (2025). 人脸识别技术应用安全管理办法（第 19 号令，第十条、十二条、十三条、十五条，2025 年 6 月 1 日起施行）. <https://www.cac.gov.cn/2025-03/21/c_1744174262156096.htm>

国家安全部 2026 年 6 月发布风险提示。部分中转站会把用户提交的数据留在服务器上，有的私自截留，倒卖给别的大模型厂商做训练。有的暗藏后门，向用户设备植入恶意代码，窃取账号密钥和云端凭证，甚至装上远程控制程序。提示建议用官方直连、正规授权的平台，不用来源不明、没有运营资质、没有安全保障的平台。用的时候先给个人隐私和项目资料脱敏，管好密钥、定期更换。遇到异常扣费、无故封号、数据异常，立即停用、改密钥、查杀病毒、留存证据。加州大学圣塔芭芭拉分校等单位的研究者 2026 年做了一项测量。他们从淘宝、闲鱼和海外网店买了 28 个付费中转站，又从公开社区收集了 400 个免费中转站。结果 1 个付费的和 8 个免费的，会往返回的工具调用里注入恶意代码。工具调用就是 AI 让你的电脑去执行的命令，比如安装软件包。还有 2 个会挑时机下手，论文举的例子是只对全自动执行的会话下手。17 个动用过研究者故意放进去的亚马逊云服务密钥。1 个转走了研究者以太坊钱包里的钱，钱包里只放了很少的钱，损失不到 50 美元。论文演示的改法很隐蔽：把安装命令里的 requests 换成拼法相近的 reqeusts，一眼看不出来（全国）

• · 国家安全部 (2026). 「AI中转站」，风险要防范. <https://www.szzg.gov.cn/2026/xwzx/szkx/202606/t20260608_5331487.htm>（数字中国建设峰会官网转载国家安全部微信公众号）；Liu H, Shou C, Wen H, Chen Y, Fang RJ, Feng Y. (2026). Your Agent Is Mine: Me

反电信网络诈骗法写明，电信主管部门要「为用户查询名下电话卡信息提供便捷渠道」。人民银行等部门要「为客户提供查询名下银行账户、支付账户的便捷渠道」。工信部指导的全国移动电话卡「一证通查」，2021 年 9 月 14 日上线。凭身份证能查名下电话卡的数量和所属运营商。推出它是因为打击电信诈骗时发现，部分涉案电话卡是冒用他人身份办的。用户本人并不知情，个人信用还可能受影响。结果 48 小时内由 10699000 短信发来。数量对不上的，到运营商查明细，本人授权后可以核实、剥离、关停或销户。2022 年 7 月又推出「一证通查 2.0」。凭手机号和身份证号后六位，能查这个号关联了多少个互联网账号。当时支持腾讯、阿里巴巴、百度、快手、抖音、京东、美团等企业，结果只给数量。银行卡这一半，中国银联 2022 年 6 月 29 日把云闪付「一键查卡」开放到境内所有省市。选好要查的银行、通过身份认证就能提交。24 小时内生成报告，报告里的卡片信息是脱敏的，7 天后自动删除（全国）

• · 全国人大常委会 (2022). 反电信网络诈骗法（第十条、第十六条）. <https://www.spp.gov.cn/spp/fl/202209/t20220902_575631.shtml>；人民网 (2021). 工信部推出「一证通查」服务：可查询用户名下电话卡数量. 中国政府网转载，2021-09-15. <http://app.www.gov.cn/govdata/gov/202109/

电信服务规范写明，「移动电话号码冻结时限最短为 90 日」，指号码注销后到重新启用的时间。注销 90 天后，这个号就可能发给新用户。工信部 2025 年第一季度电信服务质量通告提醒用户，可以用三家运营商 App 里的「二次号码焕新」服务。拿到别人用过的号，用它能解绑这个号在自己开户前注册绑定的互联网账号。2026 年第二季度通告说，这项服务已覆盖 258 款常用互联网应用，申请解绑应用超 8.5 亿次。新号主要专门去解绑，说明前一个号主的账号到了他手里还连着这个号。2024 年三大运营商的客服接受人民邮电报采访。他们说号码注销后，新用户仍然可以用短信验证码登录老用户注册的账号。他们提醒，变更或注销号码前先解绑支付宝、微信等应用，及时修改银行卡预留的手机号码（全国）

• · 信息产业部 (2005). 电信服务规范（信息产业部令第 36 号，附录 2 第 2.1.7 项）. <https://www.miit.gov.cn/zwgk/zcwj/flfg/art/2020/art_0cff75e226764dc7b811cd4e954415c5.html>；工业和信息化部 (2025). 关于 2025 年第一季度电信服务质量的通告（工信部信管函〔2025〕85 号）.