帐号异常时，顺序决定损失能否扩大。先阻断持续访问，再保留必要证据，最后恢复并监测关联入口。
先建立判断框架
按止损、留证、恢复和监测顺序处理帐号异常。。判断时不要依赖单一提示，也不要因为页面熟悉就跳过复核。把当下看到的信号、可追溯来源和可能后果放在一起，才能决定继续、暂停或退出。
核心原则若无法确认入口真伪，不要从告警邮件中的按钮直接登录；先使用已经核验并保存的访问路径。
按顺序完成四项检查
- 01
从可信设备进入恢复流程并撤销陌生会话
完成后再进入下一步；当前条件无法核实时，记录为待确认并停止高风险操作。
- 02
保存时间、通知、设备与异常操作的必要记录
完成后再进入下一步；当前条件无法核实时，记录为待确认并停止高风险操作。
- 03
修改帐号和关联邮箱的独立密码
完成后再进入下一步；当前条件无法核实时，记录为待确认并停止高风险操作。
- 04
检查第三方授权、资料修改与后续异常通知
完成后再进入下一步；当前条件无法核实时，记录为待确认并停止高风险操作。
这些信号意味着应当暂停
- 密码或邮箱被改
- 出现本人未发内容
- 恢复通知来自陌生地点
- 安全设置被关闭
暂停不是失败，而是给独立核验留下空间。不要从同一条可疑消息继续寻找“证明”，也不要为了验证页面而提交帐号、恢复代码或个人资料。
完成后的复核
若无法确认入口真伪，不要从告警邮件中的按钮直接登录；先使用已经核验并保存的访问路径。 将本次判断写成一句可复述的结论，并标明依据与日期；未来条件变化时，再重新检查。