手机可能被入侵了：我应该先做什么？

最初几分钟应该做什么？

如果出现可疑付款，立即联系支付服务商，询问哪些款项可以阻止或追回。不能保证追回。 ^[1]

从发生的事情入手：不是你支付的款项、无法访问的账号，或未经你允许发出的消息。先处理眼前损失，再调查原因。

如果伴侣或身边的人可能在监控手机，修改前先考虑人身安全。移除对方的访问权可能会惊动对方。如果安全，可以用另一台设备求助。 ^[9]

对于其他情况，按以下顺序处理：

1. 停止执行可疑消息或电话中的指示。
2. 如有可能，借用可信设备。不要在陌生人的手机或不熟悉的维修摊位上输入密码。
3. 处理当前面临风险的资金。
4. 保护能够恢复其他账号的主控账号。
5. 记录事件，然后调查手机。

截至2026年11月4日，这里提供的是一般安全信息，不是诊断，也不是个别法律或财务建议。选择符合实际情况的步骤。

如果钱已经从账号转走了怎么办？

通过已知联系方式，例如银行卡上的号码，致电银行并报告可疑付款。询问如何保护已经暴露的支付访问权限。 ^[1]

说明是受骗后自己转账，还是完全未授权这笔付款。询问哪种审核流程适用于你的情况；不要假设外国退款规则适用于伊朗账号。

准备简短记录：付款日期和时间、金额和币种、交易编号、收据显示的收款方信息，以及付款前刚发生了什么。通话时照着记录说，不必临时回想全部细节。

请处理报告的人用通俗语言解释下一步。可以问：哪些访问权限已经被封锁？这个账户还能再转出款项吗？跟进时应报哪个编号？需要哪些文件，通过什么渠道提交？

记下答案。不确定的细节就标为不确定。如果家人帮忙，给他们一个具体任务，例如整理收据，而由你负责与银行沟通。不要为了准备完美的证据文件夹而推迟联系银行。

应该先保护哪个账号？

先处理用于恢复其他账号的邮箱或平台账号。对于 Google，检查近期安全事件、已登录设备、恢复资料，以及陌生的 Gmail 转发或过滤设置。修改密码，移除不认识的访问权限。如果无法登录，使用 Google 的账号恢复流程。 ^[2]

对于 Apple Account，修改或重设密码、检查账号信息，并移除陌生设备。确认自己仍控制关联邮箱和电话号码。如果无法直接重新获得访问权，应使用 Apple 的恢复流程。 ^[3]

尽可能在可信设备上完成这些任务。列出涉及账号的简短清单，先处理能重设其他账号的账号。避免匆忙改掉十个密码后，忘记哪些修改成功了。

对于通信账号，使用 Pouyam 的WhatsApp 与 Telegram 账号恢复指南。记录是否仍有可用会话、恢复地址是否被更改，以及联系人是否收到了并非你发出的消息。这些事实有助于进行相应恢复。

有人可能接管了我的手机号码吗？

SIM 换卡攻击会把电话号码转移到他人控制的 SIM 或 eSIM。加拿大网络安全中心解释，这可能暴露通话和验证短信，帮助攻击者进入其他账号。如果移动网络服务中断，同时出现意外的账号变动，应紧急处理。单纯失去信号不能确定原因。 ^[4]

通过独立核实的渠道联系移动运营商。询问是否发生补换 SIM、号码转移或账号资料变更。说明服务停止时间和相关账号警报。询问运营商实际提供哪些保护；不要以为海外可用的功能也存在于你的伊朗套餐中。 ^[4]

在记录中把手机号码问题与手机设备问题分开。写下两个标题：“移动线路”和“在线账号”。分别列出联系过的服务商、对方回应，以及仍需采取的行动。这样，即使不同公司给出不同解释，也能让调查保持清晰。

对于支持的账号，考虑不完全依赖电话号码的验证方式。改动前检查恢复选项，确保知道以后如何重新获得访问权。 ^[4]

如果我安装了消息里的应用怎么办？

在 Android 上，Google 的恶意软件清理指南从 Play Protect、安全与系统更新、移除不可信应用，以及账号安全检查开始。如果问题持续，下一步可能是重置或向厂商求助。这是一条清理路径，不是每个异常现象都由恶意软件造成的证明。 ^[5]

修改任何内容前，记下应用名称、获取来源，以及记得授予过的权限。表述要准确：“下载了文件”和“安装了应用并开启其要求的权限”描述的是不同事件。不要只是为了完善记录就重新打开可疑链接。

区分设备访问权与授予在线服务的访问权。Google 允许检查与其他开发者应用的连接，并移除不再需要的访问权限。移除连接不会删除另一服务已经收到的信息。 ^[11]

请帮忙的人在执行前解释拟采取的操作。“这会删除应用”与“这会修改账号密码”不同。把这些行动列为不同清单项。不要因为对方说可以一次修好所有问题，就交出全部账号凭据。

应该保留哪些证据？

保留相关消息、账号警报、付款收据，以及带日期的时间线。Safety Net 的记录指南建议记录背景，并考虑存储证据的地方是否不受施害者访问。有些应用会通知他人你截了图；必要时选择更安全的屏幕记录方法。 ^[8]

使用简单记录，包含这些字段：观察到什么、何时观察到、原始记录存在哪里，以及采取了什么行动。把观察与猜测分开。写“账号设置中出现了陌生设备”，而不是没有证据就指认攻击者。

例如，事件记录可以这样写：“18:20，我发现一笔不认识的付款。18:28，我拨打了银行卡上的号码。银行给出编号 A。18:45，我从另一台设备修改了邮箱密码。”用自己的实际记录替换所有示例细节。

保留未经编辑的原件，另用副本作解释或遮盖敏感内容。不要为了询问事件是否严重，就公开私人消息、身份证件或完整付款资料。分享文件前，先确定接收者与用途。 ^[8]

应该立即清空手机吗？

经过核实的 Apple 威胁通知，与普通骚扰应用需要不同应对。Apple 表示，这类通知涉及针对个人的商业间谍软件攻击。自行进入 Apple Account 网站并登录，核实通知。真实通知不会要求安装软件，也不会要求透露密码或验证码。 ^[6]

对于这类事件，Access Now 建议保留设备供可能的调查，而不是立即清空。其指南也建议更新操作系统，并考虑使用锁定模式。清空设备不能保证以后不会再次被针对。 ^[7]

对于运行 iOS 16 或更高版本的 iPhone 上不需要的共享，安全检查可以审查与个人及应用的共享。“紧急重设”会更广泛地停止共享；“管理共享与访问”支持有选择的检查。停止访问前先考虑对个人安全的影响。安全检查并不被描述为间谍软件检测器。 ^[12]

同意清空前，写下目的：移除可疑应用、准备替换手机，还是遵循专家的恢复计划。然后询问必须先保留哪些证据和个人数据。如果没人能解释，就暂停清空，先获得更明确的计划。

谁能帮忙，应该问什么？

Access Now 的数字安全求助热线为公民社会提供免费协助，包括记者、活动人士和人权捍卫者。它会检查请求是否在其职责范围内。它不是一般手机维修服务，也不是银行退款服务。因工作遭遇针对性数字攻击的人可以查看其求助页面。 ^[10]

对于在伊朗投诉，IranWire 介绍了通过司法服务办公室提交相关卖家资料和付款记录的方式。它不保证能找到嫌疑人。 ^[13]

选择这条路径前，考虑向独立律师就你的处境和披露风险寻求保密建议。

与可信技术人员首次沟通时，准备三个问题：哪些证据支持你的判断？你建议先做什么，为什么？这项操作会删除或改变什么？请对方区分已确认的发现与可能性。

初步应对结束时，留一份简短交接记录。列出已保护的账号、已报告的付款、已检查的移动服务、已保存的证据，以及未解决的问题。给每个未解决事项写上下一步。紧急情况过后，如需更全面的预防知识，可浏览 Pouyam 的在线安全指南。