126邮箱关联Steam账号被盗全记录，一个疏忽，三年库存化为乌有，126邮箱steam被盗
深夜两点,我盯着手机屏幕上的“密码已更改”通知，手指冰凉，就在十分钟前，我还在Steam上浏览春季促销的游戏，突然被强制下线，再登录时，邮箱里躺着三封陌生的异地登录确认邮件——我的账号，被人用126邮箱的密码重置功能，彻底夺走了。
噩梦的开始：一个被忽略的“小漏洞”
事情要从三天前说起,那天我收到一封看似来自“Steam安全中心”的邮件，提醒我“账号存在异常登录，请立即验证”，邮件标题、Logo、排版都跟官方几乎一模一样，唯一的不同是发件地址：一个看似无奇的“service@steam-verify.com”，我当时正在加班，匆匆点开链接，在“登录验证”页面输入了账号和密码，还填了手机验证码——那是我第一次给陌生人“钥匙”。
事后我才意识到,这不过是最简单的钓鱼攻击，但真正致命的是，我的126邮箱本身早已千疮百孔，126邮箱的“忘记密码”机制，至今仍支持通过 备用邮箱+密保问题 直接重置主密码，而我的备用邮箱恰好是多年前注册的一个早已不用的QQ邮箱，密保问题的答案更是简单得可笑——“你的小学名字？”我填的“实验小学”，在互联网上随便一搜都能找到。
失守的全过程：从邮箱到Steam的“连环劫”
-
第一关：破解126邮箱
黑客利用我泄露的密保答案（或许是从其他平台撞库获得），轻松重置了126邮箱密码，一旦进到邮箱，他们立刻做了两件事：- 开启邮件自动转发,把此后所有来自Steam的验证邮件转发到他们的临时邮箱。
- 删除了我的126邮箱内所有Steam相关的历史邮件,包括曾经绑定的手机号更换记录。
-
第二关：重置Steam密码
他们用我的126邮箱向Steam发起“忘记密码”申请，Steam发出的验证码被自动转发，黑客随即修改了登录密码和邮箱绑定——把我的126邮箱直接换成了他们的新邮箱，整个过程不到15分钟，当我试图通过126邮箱找回Steam账号时，发现邮箱里已经空空如也。 -
第三关：清空库存与封号
我的Steam库存里有《CS2》的龙狙、《Dota2》的至宝饰品，还有一百多款正版游戏，总价值超过8000元，黑客在48小时内通过社区市场低价挂单转卖给小号，再用“家庭共享”功能把游戏库搬空，更绝的是，他们用我的账号在多个游戏里开挂，导致VAC封禁——账号永久封停，就算找回来也废了。
追讨之路：一场与客服的拉锯战
我第一时间联系Steam客服,提交了所有能想到的证据：
- 最初购买Steam游戏的信用卡账单截图
- 126邮箱被入侵前的登录记录IP
- 被盗前三天自己电脑上的Steam截图（含账号名）
- 手机里保存的原账号注册日期（2018年）
但客服的回复让我几近崩溃：
“根据您提供的信息，我们无法确认您是账号的原所有者，因为该账号的注册邮箱已被修改超过72小时，且新邮箱持有者已提供了有效的购买记录（黑客用我的账号买了几块钱的DLC）。”
盗贼反而成了“主人”，而我这个真正的玩家，变成了“申诉者”，更讽刺的是，我后来查到黑客用的那个新邮箱，竟然也是126邮箱——他注册了一个与我原账号高度相似的邮箱，比如把“zhangsan123”改成“zhangsan1234”。
复盘反思：为什么126邮箱成了“帮凶”？
| 风险点 | 说明 |
|---|---|
| 密保问题过于简单 | 126邮箱允许自定义密保问题，但很多人填的是“母亲姓名”“母校”等公开信息，极易被社工。 |
| 备用邮箱长期不维护 | 黑客只要攻破你的弱密码备用邮箱，就能反向重置主邮箱，我的备用QQ邮箱早已忘记密码，且没有开启二次验证。 |
| 邮件自动转发漏洞 | 126邮箱默认不限制自动转发规则，黑客攻入后可设置静默转发，用户完全不知情。 |
| Steam恢复流程有缺陷 | Steam允许“新邮箱+购买凭证”变更所有权，而购买凭证（信用卡后四位、CDKey等）对黑客来说并不难获取。 |
给所有玩家的血泪建议
如果你还在用126邮箱绑定Steam（或其他重要平台），请立刻做以下事情：
- 更换主邮箱：优先使用Gmail、Outlook（支持硬件安全密钥）或ProtonMail，实在不行，至少把126邮箱的“二次验证”打开——用手机令牌而非短信验证码。
- 清理备用邮箱与密保：登录126邮箱，删除所有不用的备用邮箱；将密保问题改成“只有你自己知道且永远不会公开”的答案（你养的第一只猫的名字？”，但答案用一串随机字符）。
- 关闭邮件自动转发：在邮箱设置里确认“转发”选项处于关闭状态，并定期检查转发规则。
- Steam账号设置“手机令牌+邮箱双重保护”：在Steam客户端打开“Steam令牌”，并且绑定一个独立的、不与任何其他服务共用密码的邮箱。
- 定期检查授权设备：每隔3个月登录Steam账户详情，移除未曾见过的设备授权。
写在最后
三天后,我放弃了申诉，那个陪伴了我六年的Steam账号，头像是我和大学室友第一次开黑时的截图，现在变成了一片空白，8000元的库存和游戏库，不过是冰冷的数字，真正让我痛心的是那些再也找不回的存档——《巫师3》里两百小时的存档，《文明6》里与朋友联机的地图，还有只完成了一半的《黑魂3》全成就。
被盗不是惩罚,而是提醒，在这个数字时代，我们每个人都把太多的“自己”交给了云端的服务器，当126邮箱这种古老而脆弱的体系成为你数字生命的大门时，哪怕你只疏忽一次，所有东西都会在一夜之间化为乌有。
现在,去换邮箱吧，趁一切都还来得及。
