不登录绑定邮箱进行盗号，这是怎么做到的？

[pendulum]

如下图所示：

刚刚登录邮箱（ foxmail ），发现了这 4 封邮件（这 4 封邮件均为未读邮件）。我查了下邮箱的登录记录（包括授权码登录记录），均是本人登录。还好修改密码后不允许修改邮箱，我才能通过邮箱把密码修改回来。

有没有大佬知道这是怎么做到的？是 foxmail 的锅吗？

[systemcall]

为什么不可能是晶哥想看看你在看什么呢？

[hiddenidpa]

请问下被盗前几天登录过吗？

[hiddenidpa]

我的经历和你的几乎如出一辙。都是在 5 月 11 日这天凌晨 Twitter 被盗。四封邮件第一封邮件是验证码；第二封邮件是异常登录尝试的安全警告，但是 ip 显示为美国并且设备是 9.34.3 的 iPad 浏览器；第三封邮件告知有 9.34.3 系统 iPad 浏览器的登录操作，第四封邮件告知密码已更改。我这边绑定的邮箱是 q 邮，邮箱未显示有异地登录记录。
我个人认为是有人窃取到了 Twitter 账号与密码，然后通过某种方式绕过了邮箱验证码验证的步骤，仅通过账号名 /邮箱名和密码便登录了账号。关于这点我的理由是：我几乎可以肯定第一封验证码的邮件是在盗号者输入正确密码后才发出的，因为我随后在一台新设备上试验了 Twitter 的登陆步骤，如果输错密码的话 Twiiter 是不会向你发送验证码邮件的，只有当你输对密码并且 Twiiter 判定你的设备可疑的时候才会向邮箱发送验证码邮件，当你输入正确的验证码之后 Twitter 只会发送第三封邮件告知有登录操作，不会发送第二封邮件告知有登录尝试。至于之后盗号者是如何成功登录的，目前我也没找到合理的解释（说实话我都没想到会有个和我同样经历的人出现），推测可能是盗号者利用了某些我们未知的漏洞绕过了验证码验证的步骤而直接登录账号吧。

[pendulum]

@hiddenidpa #2 确实有登录过，因为我想起来这个邮箱曾经注册了一个号，就登录进去看看，但也只是看看。这个号比较老了，确实有可能已经泄漏了密码。但为什么是登录过了几天，他才开始行动，这一点我比较疑惑🤔️

[hiddenidpa]

@pendulum 我那个号被盗之前几天应该是没有登录过的，我检查账号的访问历史只能看到 5 月 11 日被盗那时的登录记录（不过这比较诡异，因为从我把账号改密拿回来到现在我零星登录了几次，但是这段时间的记录却不显示）。其实我感觉第一步应该是搞清这件事到底是晶哥还是一般的盗号者干的。我那个号已经好几年不发言了，并且也没什么敏感的内容，这个我实话实说可以保证，所以在我看来没理由是晶哥搞的，就是不知道你那个号情况如何？我现在和你一样很想弄清那个人是怎样不看验证码邮件直接盗我们号的，所以我一直试图在找我们之间的“共性”。。。如果你有兴趣可以继续沟通？

[pendulum]

@hiddenidpa #5 我那个账号也是好几年没发言，最近整理邮箱才发现的，敏感信息也没有。不太像晶哥的做法，估计就是老账号被脱裤了，黑客批量尝试。但他的具体方法就不太清楚了。