那个让我心惊胆战的下午
就在上个月，我像往常一样打算趁午休打一会儿《CS2》，结果输入账号密码后却收到“无法登录”的提示。我反复检查大小写，还是不行。一种不祥的预感袭来，我赶紧点开邮箱，发现已经无法登录——密码被改了。通过手机验证找回邮箱，我看到了令人头皮发麻的邮件列表：来自Steam的“您的关联邮箱已更改”、“一笔交易已被确认不过是由新设备授权”……我的Steam，连同它的邮箱，彻底易主了。
一切始于那封伪装成“安全通知”的邮件
事情要倒退到一周前。我收到一封发件人为“Steam Guard”的邮件，主题是“您的账户有疑似异地登录，请立即验证”。其页面设计、Logo、字体都与官方一模一样的。我虽然在IT行业混过几年，但当时还是因为担心而点了进去。页面上要求我输入Steam账号和绑定的邮箱密码。我输入了。后来我才意识到，这个页面就是最典型的钓鱼攻击。黑客拿到凭证后，第一时间登录了我的邮箱，修改了所有恢复信息，然后从容不迫地改绑Steam。
现在回想，那个页面甚至没有HTTPS证书，可我当时根本没注意。人总是高估自己的安全意识。
不仅仅是钓鱼：撞库才是大众梦魇
也许你以为只有像我这样点入不明链接的人才会被盗。并不是。我的室友阿峰从来不点来历不明的邮件，但他的Steam账号邮箱还是被攻破了。究其原因，是他在某个讨论电影的论坛使用了与邮箱相同的密码。那个论坛在去年泄露了用户数据，阿峰的账户和密码被公开。黑客利用这个组合直接登录他的邮箱，然后接管Steam。这就是所谓的撞库。
撞库的成本极低，工具随处可见。每天，都有无数账号因为密码复用而沦陷。阿峰的库存被洗劫一空，他至今没找回全部饰品。
社交工程：直接绕过邮箱防线
最不可思议的盗号方式来自我朋友的同事。他的邮箱安然无恙，密码复杂度极高，也没有点过任何钓鱼链接，但Steam账号还是被换绑。后来发现，黑客通过Steam客服申诉渠道，提交了虚假的购买凭证，成功说服客服变更了邮箱。这种社交工程攻击不需要攻破邮箱，而是直接攻击服务商。
黑客的经典操作流程
无论通过哪种方式，一旦黑客掌控了你的邮箱，后续就是流水线操作：
- 1. 立即登录邮箱，更改邮箱密码和恢复选项，把你锁在外面。
- 2. 去Steam点击“忘记密码”，通过你的邮箱重置密码。
- 3. 登录Steam，设置家庭监护或API key，便于后续转移库存。
- 4. 将你库存中的高价值饰品挂到市场或直接发送交易报价。
- 5. 在交易完成后，甚至还会利用你的Steam继续盗取好友的账号。
整个过程下来，少则几分钟，多则一小时内你的库存就会清零。而你的邮箱则成了他们长期控制的中转站。
为什么受伤的总是邮箱
邮箱是数字世界的根。几乎所有的账号重置、密码找回都通过邮箱完成。一旦邮箱失守，无异于把家门钥匙交给了小偷。黑客之所以如此热衷攻击邮箱，正是因为它是一把万能钥匙。很多人觉得邮箱不重要，结果给自己留了致命的漏洞。
我记得之前看到过一些案例，有的人邮箱开通了双重验证，但仍被盗。因为他们使用的手机是安卓，安装了恶意应用导致短信验证码被拦截。但那又是另一种维度的攻击了。
我用了十年没出事的记录，就这样碎了
在那件事过去的一个月里，我始终在思考到底是什么环节出了错。如果说钓鱼邮件是我主动配合，撞库是我贪图方便，社交工程则是防不胜防。但无论哪种，归根结底都是人的疏忽和系统的漏洞叠加。我并不想过多责备自己，因为黑客的设计实在狡猾。
这次经历让我再也不敢轻视任何一封看似官方的邮件，我也加上了手机和硬件安全密钥。虽然已经无法挽回被盗的账号，但至少让黑客下次想动我的东西时得费更多力气。只是，我那个伴我十年的Steam账号上多了一笔不光彩的交易记录，而我知道那是黑客留下的脚印。
这就是我身边以及我自己的Steam账号邮箱被盗的真实经过。写出来是为了记录，也为了让读到的人看到其中的细节，从而了解那些看不见的陷阱。
