汽水音乐账号被盗前 3 分钟：一条短信拦下了什么

9 月 12 日上午 10 点 04 分，测试账号收到一条推送：一台位于广州的安卓设备正在登录。10 点 26 分，账号完成密码修改、陌生设备移除与登录保护开启。22 分钟里，平台做了三件事，用户做了两件事，缺一件都可能让账号落到别人手里。

背景

音乐账号的价值常被低估。它绑定了支付方式、收藏歌单、听歌历史，部分用户还用同一手机号注册了其他服务。账号一旦失守，损失不只是几首歌，还可能是复用密码带来的连锁风险。汽水音乐在 5.7 版本后把异地登录提醒从站内信改成了推送加短信双通道。

第 0 到 3 分钟：提醒是怎么发出来的

触发条件不是单纯的地理位置变化。系统综合 IP 归属地、设备指纹、登录时间与历史行为四项判断：本次登录的 IP 在常用地 500 公里以外、设备指纹未出现过、登录时间与过去 30 天的活跃时段不符，三项同时命中才判定为高风险。

高风险登录会立即触发两条通知：应用推送与绑定手机号短信。短信内容包含登录地点、设备型号与时间，并附一个“不是我”的入口。点击后账号立刻进入保护状态，所有设备强制退出。

中风险登录（两项命中）只发推送，不发短信。这样做的原因是降低打扰：出差、换手机、系统升级都会改变设备指纹，若每次都发短信，用户会逐渐忽略。

第 3 到 12 分钟：二次验证卡住了对方

测试中的陌生设备在输入正确密码后，被要求输入短信验证码。验证码 6 位、5 分钟内有效、单次使用，连续输错 5 次锁定该设备 30 分钟。这一步是整条链路上最有效的拦截，因为攻击者通常只有密码，没有手机。

需要提醒的是，验证码通过短信下发，如果手机号已经停用或换号，用户自己也会被挡在门外。换号前先在账号里完成号码变更，是比设置复杂密码更实际的一步。

12 分钟时，我们在旧设备上完成了密码修改。修改后系统自动踢出所有已登录设备，包括那台广州的设备，踢出记录在安全页可见。

第 12 到 22 分钟：用户该做的五件事

第一，改密码，并且不要复用。测试账号的原密码在其他两个网站使用过，这是最常见的失守路径。第二，移除陌生设备，安全页会列出近 30 天的设备型号与地点，不认识的直接移除。

第三，检查支付方式。解绑不常用的银行卡，关闭免密支付。第四，查看歌单与收藏是否有异常变动，攻击者通常不改这些，但改了就说明账号已被深度使用。第五，开启登录保护，让新设备登录一律需要短信验证。

这五步做完，账号恢复到可用状态。整个过程里平台侧的动作是自动的，用户侧的动作需要自己完成，安全页把五项操作做成了一个清单，逐项打勾即可。

绝大多数账号失守不是因为平台被攻破，是因为同一个密码在别的地方泄露了。二次验证是最后一道门，但它只在你开着的时候有效。—— 汽水音乐安全中心工程师在用户安全指南中的说明

写在最后

22 分钟的处理过程里，最关键的其实是第 3 分钟那条短信。如果当时没看，后面所有步骤都要重来。现在就打开汽水音乐的账号安全页，把登录保护打开，把不认识的设备清掉——这两步加起来不到两分钟，比事后申诉便宜得多。

← 返回新闻中心列表