一条验证码，为了一件你没做过的事而来。短信本身不会告诉你它为什么被发出，难处正在这里：同一条短信，能同时符合好几种截然不同的情况。
一句话总结： 不要把验证码转给任何因为它而联系你的人，也不要点信息里的链接、拨里面的电话号码。对于没有申请过的验证码，Google 给出的做法是忽略并删除，不要分享。除此之外，值不值得再做点什么，取决于你还能观察到什么——验证码提到的服务你是否真的在用，后面有没有继续来，那个账号上有没有哪里看着不对劲，以及你的手机通信是否一切正常。
最先要做的三件事
- 不要把验证码转出去。 如果有人联系你索要登录码、注册码或找回码——不管是打电话、发聊天消息还是发短信——都不要给。只走你自己发起的流程，在那个服务自己的应用或官网里完成。
- 不要点短信里的链接，也不要拨里面的电话。 验证码真的到了，并不能让它周围那段文字也跟着变成真的。
- 如果验证码提到的服务你确实在用，就自己去打开那个服务——用它的官方应用，或者你自己手动输入的网址——再从那里查看账号。
Google 关于没有申请过的验证码的帮助页写明：你可以忽略并删除这条消息，不应分享验证码；同时指向它的「安全设置检查」，供你做一次更全面的检查。
它可能意味着什么
单看这条短信是分不出来的。微软的未申请验证码疑难解答页直接列出了三种可能：
- 有人正在尝试访问某个账号。
- 有人在登录时填错了手机号或邮箱地址。
- 你更早之前申请过的验证码被延迟了，直到现在才送达。如果你不确定之前那次申请走的是哪个渠道，验证码到底送到了哪里讲了怎么看清目的地。
还有两种值得放在心上：
- 这条消息可能是饵。 一条长得像验证码的消息，可能伴随着一次尝试：让你去拨某个号码、点某个链接，或者把验证码念给别人听。
- 这个号码可能带着上一位使用者的历史。 号码会被重新分配，这也正是拿到手的号码已经注册过 WhatsApp 背后的同一套机制。
这些都是可能性，不是结论。要在它们之间做判断，需要短信之外的东西，比如账号本身。
按你能观察到的情况，决定看什么
| 你能观察到的 | 它符合哪些情况 | 相称的应对 |
|---|---|---|
| 一条验证码，来自你不用的服务 | 有人填错了号码、一条延迟的消息，或者针对一个不属于你的账号的尝试 | 忽略并删除；不要在任何地方输入它 |
| 一条验证码，来自你确实在用的服务 | 上面任何一种可能，包括一次尝试 | 自己去打开那个服务，检查它的安全页面 |
| 后面还在陆续收到 | 反复的尝试，或者某个服务在重发 | 检查被提到那个账号的安全设置，并加强它的登录 |
| 有人联系你索要验证码 | 一次从你手上把它拿走的尝试 | 不要转给对方；结束这次联系；通过该服务的官方渠道举报 |
| 账号上有不认识的东西——某个会话、某台设备，或者被改过的找回方式 | 可能已经被访问 | 使用该服务自己的控制项，从找回方式开始 |
| 手机通信忽然中断 | 网络故障、设备或 SIM 卡问题，或者线路本身被改动 | 联系你的运营商——见下文 |
最该仔细看的是找回方式
如果在意外收到验证码之后你只检查账号的一个部分，那就检查这一部分。
对一个账号的访问，可以通过修改它的找回方式变得持久——备用邮箱、找回用的手机号、受信任设备、已关联的会话。把密码改回来不一定能撤销这一点，因为回去的那条路已经被改指向别处了。
所以在账号的安全页面上，重点找这些：
- 你已经认不出、或者打不开的备用邮箱；
- 不属于你的找回手机号；
- 你不认识的已关联设备或活动会话；
- 已连接的应用或应用专用密码——改密码之后它们会怎样，各家服务的做法并不相同，请查该服务自己的文档，而不要想当然地认为它们已被撤销。
Google 为自家账号提供了查看账号活动与设备的说明。
如果你的手机没了信号
手机失去通信服务，有很多寻常原因：网络故障、SIM 卡损坏或没插好、设备故障、欠费。
它也可能伴随着线路本身的变动。真正让这件事值得马上打电话给运营商的，是组合出现——服务中断且没有寻常解释，尤其是同时还收到关于账号变更、号码转移或携号转网申请的通知，而这些都不是你发起的。
联系运营商时，请用你自己查到的号码，不要用消息里给出的号码。举一个运营商的例子：美国 AT&T 的指引要求怀疑号码被非法转移的客户尽快与其联系；其他运营商有自己的流程和联系方式，所以请用你自己这家的。单是失去信号并不能证明号码被转走了；它只是一个值得尽快去确认的理由，因为对一条线路的控制权，决定着基于短信的登录和账号找回。
两个值得走一遍的情况
用于说明的场景，不是真实账号的记录。
一条来自你从没用过的服务的验证码。 它提到一个你根本没有账号的电商平台。这里没有属于你的东西需要保护。忽略并删除它，也不要为了查清楚而去那里注册一个账号——那会把一条走错门的消息，变成一个真实的足迹。如果同一个服务还在继续发来，该服务自己的安全或帮助渠道才是举报的地方；电商平台会公布指引，例如 Shopee 的账号安全帮助。WhatsApp 同样公布了针对你没有申请过的验证码的指引。
一条来自你确实在用的服务的验证码，十分钟内来了两次。 这时候就有东西值得检查了。打开该服务自己的应用，进入它的安全页面，按这个顺序读：登录活动、设备、找回方式。如果一切都和你预期的一致，那么加强登录是合理的应对。如果情况反过来，是账号在拒绝你正想添加的一个号码，那是另一个问题——见Google 拒绝手机号是什么意思。如果某个找回方式你根本不认识，那就是发现本身，而该服务自己的找回与安全控制项，才是处理它的地方。
如果你已经把验证码给了别人
这种事会发生，而且对方施加的压力本来就是为了奏效而设计的。接下来怎么做，取决于你是否还进得去那个账号。
如果你还有访问权限：
- 直接打开那个服务——它的应用，或者你自己手动输入的网址。
- 先检查找回方式，把被改动过的改回来。
- 检查已关联设备和活动会话。把你不认识的登出；但如果你手上仍然保留的某个会话是你唯一的入口，就要谨慎一次性全部登出。
- 改掉这个服务真正用来登录的那个密码、PIN 码或其他验证用的密钥。并不是每个服务都用传统意义上的密码——比如 WhatsApp 是围绕注册号码，以及应用提供的两步验证 PIN 码或密码来组织的——所以用那个服务安全页面提供的那一项。
- 打开可用的最强第二重验证，同时注意：登录因素并不自动等于找回方式。
如果你已经进不去账号了： 直接走该服务官方的账号找回流程。不要继续尝试各种别的登录方式，也不要再和联系过你的那个人往来。
如果有钱被转走，或者有操作已经被执行，请直接向该服务的官方处理渠道报告——支付机构、银行或电商平台各有自己的流程。
没有哪一套步骤能保证所有后果都被撤销。目标是把回去的那些路都关上。
如果你想举报
通过消息自称来自的那个服务的官方渠道举报。有用的信息包括：
- 你收到了一条自己没有申请过的验证码；
- 大致的日期和时间；
- 显示出来的服务名或发件方名称；
- 你的号码，做过遮挡，只留最后几位。
任何举报里都不要放进去的：验证码本身、密码、以及账号找回码。 做过遮挡的证据——比如一张把验证码涂黑的截图——和验证码本身是两回事。按你所用表单对证据的要求来提交，同时把验证码、密码和找回码留在外面。
如果你在我们这里租用收件号码，请记得：租用的号码可能带着此前的关联，之后也可能被重新分配，所以一条跟你毫无关系的消息是很平常的结果，而不是关于你账号的信号。单凭一条意外的消息，并不能证明属于你的东西受到了影响。但如果验证码提到的是你确实在用的服务，就把它当成你自己的任何一个账号那样，正常检查一遍。如果你认为某个订单有问题，提交工单并附上订单 ID 是正确的途径，常见问题则说明了一个订单能证明什么、不能证明什么。
本文的局限
- 单独一条消息无法确定是谁申请了验证码，也无法确定原因。我们无法从一条收到的短信里认出发起的人；目标服务那边可能保有活动记录，而即使是那些记录，也不能确定一个人的身份。
- 这里列出的可能性就只是可能性。要把它们区分开，需要的是账号，而不是那条消息。
- 安全控制项及其名称各家服务不同，而且会随时间变化。该服务自己的安全页面才是准。
- 没有哪一串步骤能保证一次入侵被完全逆转。
FAQ
收到一条意外的验证码，是不是说明我的账号被人进去了？
不是——它同时符合好几种情况，包括有人填错了号码、更早的申请被延迟，以及一次并未成功的尝试。对于孤零零的一条验证码，Google 给出的做法是忽略并删除，不要分享。
有人说是误发的，让我转给他。要转吗？
不要。不要把登录码、注册码或找回码转给任何主动联系你的人。如果对方的请求是真的，他们可以自己重新发起一次流程。
你们能查出是谁申请的验证码吗？
查不出。收到的短信里不带这个信息，我们也看不到发起申请的那个服务。服务本身可能保有活动记录，但那些记录显示的是请求和设备，并不能确定一个人的身份。
我一直在收到同一个服务发来的验证码，现在该怎么办？
如果那是你在用的账号，直接打开它，检查登录活动、设备和找回方式，然后加强登录。如果那不是你的账号，就没有属于你的东西需要保护；通过该服务的官方渠道举报，而不要为了查清楚去注册。
我的手机差不多同时没了信号，这两件事有关系吗？
可能有，也可能只是网络故障、SIM 卡或设备的问题。真正值得快速处理的组合，是没有解释的服务中断，同时还伴随着关于账号变更或号码转移的通知，而那些都不是你发起的。请用你自己查到的号码打给运营商。
换一个手机号能让这件事停下来吗？
作为一个通用答案，不能——任何号码都可能收到一条走错门的验证码，而保护一个账号靠的是它自己的控制项。换号码是针对特定情形（比如持续不断的骚扰联系）的决定，而不是对一条消息的常规反应。
我在租用的号码上收到了验证码，是不是出问题了？
单凭这一点不是。租用的号码可能带着此前的关联，之后也可能被重新分配，所以收到无关的消息很平常。不要在任何地方输入它们。如果验证码提到的是你本人在用的服务，就照平常那样检查那个账号。