Gmail账号被盗后，最重要的是先阻止继续访问，再检查账号是否被修改、邮件是否被转发、过滤器是否被隐藏、第三方应用是否被授权。不要只改密码就结束，也不要急着删除所有异常邮件。本文会按异常迹象、立即处理、设备退出、转发过滤器、第三方授权、账号恢复和后续防护，整理一套完整排查流程。
异常迹象
陌生登录提醒需重视
如果Gmail或Google账号出现陌生登录提醒、异地设备登录、密码修改通知、恢复邮箱变更、两步验证异常请求，就要立即提高警惕。这些提醒可能表示有人正在尝试进入你的账号，或已经取得部分权限。不要只把它当作普通系统通知归档，也不要直接点击邮件中的陌生链接。应从Google账号官方安全页面进入检查近期活动，确认是否有未知设备和异常操作。
邮件状态异常要排查
Gmail账号被盗后，邮箱内部常出现异常状态，例如邮件被自动标记已读、重要邮件突然消失、垃圾邮件增多、联系人收到你没发过的邮件、发件箱或已发送邮件出现陌生内容。这类情况说明问题可能不只是密码泄露，还可能涉及自动转发、过滤器、第三方应用或设备登录。发现异常后，不要只清理表面邮件，要进一步检查账号和Gmail设置。
联系人反馈不可忽视
有时你自己还没发现异常，朋友、客户或同事先收到来自你邮箱的可疑邮件，例如借钱、链接、附件、验证码请求或推广内容。这时不要认为只是对方误会，应立即检查已发送邮件、账号活动、第三方授权和设备登录。攻击者可能利用你的邮箱信誉发送钓鱼邮件。若确实存在异常，要尽快通知联系人不要点击之前的可疑链接或附件。
立即止损
先从官方入口登录账号
发现Gmail账号被盗时，不要从邮件里的链接登录，也不要通过第三方恢复工具操作。应自己打开Google账号页面或Gmail官方入口，确认是否还能登录。Google官方的 被盗或遭入侵账号处理说明 建议用户先登录账号并检查可疑活动。只要还能登录，就尽快进入安全设置处理。
立即修改强密码
如果还能登录账号，第一步应修改密码。新密码不要和其他网站重复，也不要使用生日、姓名、手机号、简单数字或旧密码变体。若攻击者知道你在其他平台的密码，重复密码会让多个账号同时受影响。修改后，应在安全设置中退出不认识的设备。密码修改只是第一步，后面还要检查恢复方式、授权应用、转发规则和过滤器。
不要急着清空异常邮件
发现账号异常后，不要立刻删除所有可疑邮件、清空垃圾箱或清理已发送记录。部分异常邮件可能是判断入侵时间、攻击方式和影响范围的重要线索。可以先截图或保留邮件，再处理安全问题。普通垃圾内容可以后续清理，但涉及诈骗、客户、财务、合同和账号安全的异常邮件，最好先保留证据。先止损，再整理，是更稳妥的顺序。
密码处理
新密码必须唯一且足够强
Gmail账号被盗后，新密码必须和其他网站完全不同。很多账号被盗不是因为Gmail本身被攻破，而是用户在别的平台泄露了相同密码。建议使用较长、随机、包含大小写字母、数字和符号的密码，并保存在可信密码管理工具中。不要把密码写在邮件草稿、聊天记录或网盘明文文件里。密码越唯一，连带风险越低。
修改密码后检查恢复方式
攻击者可能会修改恢复邮箱、恢复手机号或安全设置，让你以后更难找回账号。修改密码后，应马上检查恢复方式是否仍然是你自己的。若发现陌生手机号、陌生备用邮箱或不认识的恢复选项，要立即移除并更新。Google官方的账号安全建议中也强调，恢复手机号和恢复邮箱是重要安全工具。恢复方式不干净，账号仍然不安全。
旧设备也要重新确认
修改密码后，仍要检查哪些设备保持登录。某些设备可能因为会话、应用授权或系统同步继续访问账号。进入Google账号安全设置，查看已登录设备和近期活动，退出不认识或不再使用的设备。若旧手机、公共电脑或已丢失设备仍在列表中，应立即退出。密码更新解决入口问题，设备退出解决已登录会话问题，两者都要做。
设备退出
查看已登录设备列表
Google账号安全页面可以查看当前和近期登录设备，包括手机、电脑、平板和浏览器会话。Gmail账号被盗后，应逐一检查这些设备，确认是否都是自己使用过的设备。陌生型号、陌生地点、异常时间和不熟悉浏览器，都需要重点关注。不要只看当前正在使用的手机或电脑，因为攻击者可能从另一个设备持续访问。设备列表是排查账号入侵的重要线索。
陌生设备立即退出登录
发现不认识的设备后，应立即选择退出该设备，并修改密码。若设备显示的位置不准确，也要结合时间、型号和使用记录判断。不要因为地点显示不完全准确就忽略异常，也不要因为设备名称模糊就完全放心。对主账号、工作邮箱和绑定支付服务的Gmail，宁可谨慎退出可疑设备，再重新登录自己的设备。陌生设备不应长期保留访问权。
丢失设备要单独处理
如果你的手机、电脑或平板丢失，且设备中登录了Gmail，应立即从Google账号中退出该设备，并修改密码。若设备本身还保存浏览器密码、邮件App、云盘和验证码短信，还要考虑远程锁定或擦除。Gmail账号被盗有时不是远程攻击，而是设备丢失后被人直接访问。处理这类情况时，邮箱安全和设备安全要同时考虑。
安全检查
运行Google安全检查
修改密码和退出设备后，建议运行Google账号安全检查。Google官方的 增强账号安全说明 建议用户使用Security Checkup查看个性化安全建议，包括恢复方式、近期安全事件和设备状态。安全检查能帮你发现遗漏项，但不要只点一遍就结束，结果里每一项都要认真看。
检查近期安全活动
近期安全活动可以显示密码修改、设备登录、恢复方式变更、应用授权等事件。你要重点看自己没有操作过的记录。比如凌晨异地登录、陌生设备授权、恢复邮箱被修改、两步验证设置变化，都可能是入侵痕迹。发现异常后，应记录时间，并继续检查Gmail内部设置。账号安全活动能告诉你账号层面发生了什么，Gmail设置能告诉你邮箱内部是否被动过手脚。
确认两步验证状态
若账号还没有开启两步验证，应尽快开启。若已经开启，也要检查验证方式是否仍然安全，例如是否有陌生设备、陌生安全密钥、未知备用验证码或不再使用的手机号。两步验证不是开启一次就永远安全，也需要维护。攻击者如果能修改验证方式，账号仍有风险。主账号和工作账号都建议使用更稳的验证方式，并保留备用访问方案。
转发检查
检查自动转发设置
Gmail账号被盗后，攻击者可能设置自动转发，把你的新邮件转到陌生邮箱。这样即使你改了密码，对方也可能继续收到部分邮件内容。进入Gmail电脑端设置，检查“转发和POP/IMAP”中是否有陌生转发地址。Google官方的 Gmail自动转发说明 也显示，Gmail可设置转发邮件到另一个账号。发现陌生地址要立即移除。
转发地址不能只看一个地方
转发不一定只出现在全局转发设置中，也可能通过过滤器转发部分邮件。比如只转发包含验证码、银行、客户、发票或安全提醒的邮件。攻击者可能故意设置得很隐蔽，让你不容易发现。因此检查转发时，要同时查看“转发和POP/IMAP”以及“过滤器和被屏蔽的地址”。只检查一个位置，可能漏掉更隐蔽的规则。
移除后继续观察新邮件
删除陌生转发地址后，应继续观察一段时间，看是否还有邮件异常、是否仍有联系人收到可疑内容、是否有新规则被创建。若异常继续出现，说明可能还有设备、授权应用或过滤器没有处理干净。不要以为删掉一个转发地址就完全结束。Gmail账号被盗后的恢复，需要多轮检查，直到账号活动、邮件去向和授权状态都恢复正常。
过滤器查
检查陌生过滤器规则
攻击者可能创建过滤器，让某些邮件自动删除、归档、标记已读、跳过收件箱或转发到外部邮箱。进入Gmail设置中的“过滤器和被屏蔽的地址”，查看是否有你不认识的规则。尤其要注意包含password、code、verification、bank、invoice、security、验证码、账单等关键词的过滤器。陌生过滤器可能比陌生邮件更危险，因为它会持续隐藏重要提醒。
删除隐藏安全提醒的规则
如果过滤器会把安全通知、验证码、银行邮件、客户邮件、恢复邮件自动归档或删除，应立即删除。攻击者常用这种方法隐藏账号异常，让你看不到警告。删除规则后，还要到垃圾箱、所有邮件和已归档邮件中找回可能被隐藏的内容。过滤器是Gmail效率工具，但账号被盗后也可能被滥用。恢复账号时必须认真检查。
检查被屏蔽地址列表
攻击者也可能屏蔽某些正常发件人，例如Google安全提醒、银行通知、客户邮箱或恢复邮箱，让你收不到关键消息。检查被屏蔽地址列表，确认没有重要联系人或平台被加入其中。若发现误屏蔽，应解除并检查垃圾邮件文件夹。关于屏蔽规则可参考 Gmail屏蔽发件人教程，理解屏蔽后邮件去向。
授权应用
检查第三方应用权限
Gmail账号被盗不一定只靠密码登录，也可能来自第三方应用授权。某些应用可能拥有读取邮件、联系人、云盘或日历的权限。进入Google账号安全设置，查看已连接的第三方应用和服务。不认识、不再使用或权限过大的应用应移除。Google官方的 Google账号第三方应用访问说明 也提醒用户只向可信应用授予账号数据访问权限。
不要把密码交给第三方
如果某个第三方网站或应用要求你直接输入Google账号密码，而不是通过官方授权流程登录，应高度警惕。把密码交给第三方，可能让对方获得完整账号访问能力。尤其是邮件清理工具、自动化工具、未知客户端和破解软件，更要谨慎。恢复被盗账号后，应移除不可信应用，并避免继续使用来历不明的工具。授权越少，风险越清楚。
旧邮件客户端也要检查
如果你曾经用Outlook、手机邮件App或其他客户端连接Gmail，也要检查这些连接是否仍然需要。旧设备、旧客户端和不再使用的应用可能继续保留访问权限。若不确定某个授权是否安全，可以先移除，之后需要时再重新添加。Gmail客户端连接设置可参考 Gmail Outlook连接设置指南，但被盗后应优先清理陌生连接。
已发邮件
检查已发送邮件记录
账号被盗后，应检查已发送邮件，看是否有你没有发送过的内容。常见异常包括群发链接、借钱邮件、诈骗附件、推广内容、伪装工作通知和验证码请求。如果发现异常，先截图或保留记录，再通知相关联系人。不要只删除异常邮件，因为它可以帮助你判断攻击时间和影响范围。已发送记录是确认账号是否被滥用的重要证据。
通知联系人不要点击链接
如果攻击者已经用你的Gmail发送过可疑邮件，应尽快通过安全渠道通知联系人，不要点击之前邮件中的链接或附件。可以发一封简短说明，告知账号出现异常，之前某段时间内的可疑邮件不代表本人操作。若涉及客户或工作联系人，语气要正式，说明已在处理账号安全。及时通知能减少二次受害，也能维护你的邮箱信誉。
检查草稿和计划发送
除了已发送邮件，还要检查草稿和已安排发送邮件。攻击者可能准备了草稿，或设置未来时间发送邮件。Gmail账号恢复后，应查看草稿箱和已安排邮件，删除不认识的内容。定时邮件可能在未来自动发出，若不检查，账号看似恢复后仍可能继续发送异常邮件。关于预约发送可查看 Gmail定时发送教程。
垃圾箱查
找回被删除的重要邮件
攻击者可能删除邮件来隐藏痕迹，例如安全提醒、验证码、客户回复或平台通知。进入垃圾箱查看最近删除的邮件，按日期、发件人和关键词搜索。若发现重要邮件被删除，可以恢复到收件箱或加标签保存。不要立刻清空垃圾箱，因为垃圾箱可能包含入侵线索。恢复账号后，垃圾箱和垃圾邮件文件夹都要检查一遍。
检查垃圾邮件中的正常邮件
如果攻击者屏蔽了正常发件人，或Gmail误判了安全通知，重要邮件可能进入垃圾邮件文件夹。检查垃圾邮件中是否有客户、银行、Google安全提醒、恢复邮件、面试通知或验证码。发现正常邮件后，标记为非垃圾邮件。账号被盗后的排查不能只看收件箱，因为异常规则可能让关键邮件进入其他位置。所有邮件去向都要重新确认。
批量清理前先保留证据
账号恢复过程中，不要急着批量删除垃圾邮件、垃圾箱和异常邮件。先确认是否需要保留证据，尤其是涉及诈骗、骚扰、资金损失、客户邮件和企业安全时。普通无用内容可以后续清理，但重要异常记录应先截图、导出或加标签。关于批量清理可参考 Gmail批量删除邮件教程，但安全排查应优先于清理。
账号恢复
无法登录走官方恢复流程
如果你已经无法登录Gmail，不要相信所谓代找回、快速解锁或付费恢复服务。应使用Google账号恢复流程，并尽量在常用设备、常用网络和熟悉的位置操作。Google官方的 账号恢复步骤提示 建议用户尽量回答更多问题，使用熟悉设备和位置，并提供准确密码信息。恢复流程越符合真实使用习惯，成功概率越高。
恢复后立即做完整检查
成功恢复账号后，不要只改密码就恢复日常使用。应立即检查恢复方式、登录设备、第三方授权、Gmail转发、过滤器、被屏蔽地址、已发送邮件、草稿、已安排邮件和垃圾箱。攻击者可能在账号中留下多个后门。如果只处理其中一项，后续仍可能出现异常。恢复登录只是第一阶段，清除异常设置才是真正恢复安全。
恢复失败时保留相关信息
如果恢复暂时失败，应记录你尝试的设备、时间、恢复邮箱、手机号和可用信息，避免频繁无序尝试。尽量使用过去常用的电脑或手机、常用网络，以及你记得的旧密码。不要把账号信息交给陌生人代操作。若账号涉及工作、客户或企业资料，应及时通知相关负责人，避免对外沟通继续依赖该邮箱。恢复过程中要保护剩余可用信息。
通知联系人
向受影响联系人说明情况
如果账号被盗期间曾发送可疑邮件，应向受影响联系人说明。内容可以简洁：账号近期出现异常，某段时间内来自该邮箱的链接、附件或请求不代表本人操作，请勿点击或下载。说明不需要过度展开，也不要附带可疑邮件转发。若是客户或工作联系人，语气要正式，避免引起更多误会。及时沟通能减少对方受害风险。
避免再次发送可疑链接
通知联系人时，不要转发攻击者发送的原始链接或附件，也不要让对方点击“查看示例”。可以用文字描述大概时间和风险类型。若必须提供证据，建议截图并遮挡敏感内容，或通过安全渠道发送给负责人。被盗后的沟通目标是止损，不是扩大可疑内容传播。越是涉及客户和企业联系人，越要注意通知方式。
企业场景同步管理员
如果被盗的是工作Gmail或Google Workspace账号，应及时通知公司管理员、IT人员或负责人。企业账号可能涉及客户资料、内部文件、共享云盘、群组邮箱和项目权限。管理员可以检查组织级安全事件、撤销访问、重置账号、审查邮件规则和提醒其他员工。个人处理不一定足够，企业场景必须把账号被盗当作组织安全事件处理。
设备安全
检查电脑手机是否中毒
如果你反复修改密码后仍然异常，可能设备本身存在风险。例如浏览器插件、恶意软件、被盗手机、共享电脑或不可信应用可能继续窃取信息。应检查电脑和手机中是否有不认识的软件、插件和应用，删除可疑内容。工作设备应联系管理员处理。Gmail账号安全不仅取决于网页设置，也取决于你登录账号的设备是否可信。
清理浏览器保存密码
浏览器中保存的密码、自动填充信息和登录会话，也可能成为风险来源。账号被盗后，可以检查浏览器密码管理器，删除泄露或不再使用的密码，更新重要网站密码。若设备曾被他人使用或不可信，应退出浏览器同步，清理会话，并重新登录可信设备。不要在公共电脑保存Gmail密码，也不要让浏览器长期自动登录重要账号。
避免继续使用可疑插件
某些浏览器插件或邮件插件可能请求读取网页内容、访问邮箱或管理数据。恢复Gmail账号后，应检查浏览器扩展，移除不认识、不再使用或来源不明的插件。尤其是邮件增强、自动回复、数据抓取、批量清理类插件，要看清权限。插件越多，攻击面越大。账号被盗后，不仅要清理Google授权，也要清理浏览器环境。
防护习惯
开启两步验证和备用码
恢复安全后，应开启两步验证，并妥善保存备用验证码。两步验证能降低密码泄露后的风险，但备用码也要放在安全位置，不能存在邮箱草稿或明文聊天记录中。若使用手机验证，要确保手机号仍可用；若使用安全密钥或验证器，也要考虑备用方案。防护不是只开一个按钮，而是建立可持续的登录和恢复体系。
定期检查安全设置
建议定期检查Google账号安全状态，包括设备、恢复方式、第三方授权、近期安全活动、Gmail转发和过滤器。主邮箱、工作邮箱和绑定重要平台的邮箱，更需要固定检查。很多风险不是突然爆发，而是设置中长期存在异常。每月花几分钟检查一次，比账号被盗后花几天补救更划算。安全维护应成为长期习惯。
警惕钓鱼邮件和假通知
很多Gmail账号被盗始于钓鱼邮件。用户点击假登录链接、输入密码和验证码后，攻击者就能进入账号。以后遇到账号异常、付款失败、共享文件、中奖、物流、合同附件等邮件，应先检查发件人、链接和上下文。关于识别风险邮件，可以继续查看 Gmail钓鱼邮件识别指南，减少再次被盗概率。
处理流程
第一步夺回账号控制权
完整处理Gmail账号被盗，第一步是夺回控制权。如果还能登录，立即修改密码、更新恢复方式、退出陌生设备；如果无法登录，走官方恢复流程。不要相信第三方代恢复，不要把验证码和密码交给别人。控制权恢复前，其他整理都只是表面操作。只有确认你能安全登录，并且攻击者不能继续访问，后续排查才有意义。
第二步清理隐藏后门
第二步是清理隐藏后门，包括自动转发、过滤器、被屏蔽地址、第三方授权、邮件客户端、已安排邮件和陌生设备。很多用户只改密码，却忽略这些设置，导致异常继续发生。攻击者可能通过转发继续收邮件，也可能通过授权应用继续访问数据。清理后门是账号恢复的核心步骤，比清理垃圾邮件更重要。
第三步通知联系人并长期防护
第三步是通知可能受影响的联系人，并建立长期防护。告诉对方不要点击异常链接，检查自己的账号安全，开启两步验证，定期查看安全活动。之后继续观察邮箱是否仍有异常邮件、陌生登录或规则变化。更多Gmail安全和邮箱管理内容，可以从 gmailbpc.com Gmail中文教程首页 查看，逐步建立稳定安全习惯。
长期建议
主邮箱不要随便注册低价值服务
主Gmail通常绑定重要账号、恢复邮箱、支付通知、云盘和工作资料。不要用主邮箱随便注册低价值网站、陌生活动和不可信工具。临时注册可以使用备用邮箱，降低主账号暴露范围。邮箱暴露越多，收到钓鱼和垃圾邮件的机会越高。主邮箱应保持低风险、低噪音和强安全设置，这样出现异常时也更容易排查。
重要平台不要共用同一密码
Gmail、银行、云盘、社交平台、工作系统和购物平台都不应共用同一密码。一旦某个平台泄露，攻击者可能尝试登录其他服务。使用唯一密码和密码管理工具，可以显著降低连带风险。账号被盗后，也要检查其他使用相同密码的平台，并尽快修改。不要只保护Gmail本身，所有关联账号都要重新评估安全。
把安全检查当成固定习惯
Gmail账号被盗处理完成后，不要等下一次异常才想起安全。每月检查一次设备、授权、恢复方式、转发和过滤器；每次换手机、换电脑、丢设备、使用公共电脑后，也要检查登录状态。长期安全不是靠一次处理完成，而是靠稳定习惯。只要你把账号安全当成日常维护，Gmail再次被盗的风险就会明显降低。