为什么我收到了一个我没要求的验证码？
大多数意外验证码源于输错信息、登录或重置密码的尝试，或是诈骗信息。了解如何分辨你遇到的是哪种情况、该检查什么，以及绝不能用验证码做的那件事。
快速访问
为什么你可能会收到自己并未请求的验证码
意外的验证码可能来自拼写错误、有人尝试登录或重置密码，也可能是旨在诱使你回复的诈骗信息。收到自己并未请求的验证码，本身并不能证明你的账户已被访问，也不能证明有人知道你的密码。请勿分享验证码、批准意外的提示，或点击消息中的链接。请直接打开相关服务，查看你的账户活动。
验证码保护的内容取决于具体服务。它可能用于确认新注册、登录、密码重置、账户恢复尝试、电话号码，或支付等敏感操作。因此，正确的应对方式取决于出现的情况模式，而不是验证码本身。
- 只收到一个验证码，没有其他警告： 这可能是拼写错误、注册、登录或重置尝试，也可能是虚假消息。不要使用该验证码；如果你确实拥有所提及的账户，请直接查看该账户。
- 验证码不断出现： 可能有人正在反复尝试登录或重置访问权限。请立即检查该账户。
- 验证码加上账户提醒： 新设备登录、密码更改或恢复方式更改的通知需要今天就处理。
- 任何向你索要验证码的人： 无论对方自称是谁，都应视为诈骗。
有人误输入了你的邮箱地址或电话号码
人们经常打错自己的联系方式，于是验证码就发到了你这里，而不是他们那里。Login.gov 的帮助页面“我收到了自己并未请求的一次性验证码”将这种情况列为可能原因之一，另一种可能是与你共用手机的人（例如配偶、父母或孩子）在登录自己的账户。只收到一个验证码且没有后续消息，通常是这类混淆的典型表现。
有人尝试登录或重置你的密码
许多服务在登录来自新设备或新地点，或有人发起密码重置时，会发送验证码。这个人可能是你在另一台设备上的操作，可能是把自己的账户和你的账户搞混的人，也可能是利用从其他网站泄露的密码进行的自动登录尝试。视服务而定，验证码可能是输入密码后的第二步，也可能是无密码登录的主要凭证，仅凭验证码本身无法判断属于哪种情况。请勿分享或输入该验证码，并通过官方应用或网站检查该账户。
有人用你的联系方式注册了账户
你可能会收到某个从未使用过的服务的注册验证码，因为有人在创建账户时输入了你的邮箱地址或电话号码。大多数服务只有在验证码或确认链接被使用后才会完成注册，因此通常忽略该消息即可。不要为了调查而专门创建账户。
这条消息是钓鱼信息，并非真正的验证码
即使没有发生任何真实的账户操作，消息也可能模仿验证通知，并包含链接、电话号码或“回复以取消”的指示。其目的是让你拨打电话、点击链接，或在虚假页面上输入内容。不要测试该链接。请打开官方应用，或自行输入该服务已知的网址。
服务端问题引发了一波消息
有时原因出在公司这一方。2026年1月，Instagram 将一波意外的密码重置邮件归因于“一个允许外部方为部分用户请求密码重置邮件的问题”，同时 Instagram 否认其系统遭到入侵。即使遇到这种情况，安全的做法也是一样的：忽略链接，直接在应用里查看账户。
现在该怎么做
应对未请求验证码的最安全做法只需几分钟，而且始终不涉及消息本身。请按顺序完成以下步骤，一旦账户检查无误就停止。
- 请勿分享、转发或朗读验证码。 不要在任何地方输入该验证码，也不要批准并非由你发起的登录提示。Google 的帮助页面“Google 何时可能会向你发送短信”指出，你可以忽略并删除自己并未请求的短信验证码，并且不应分享收到的任何验证码。
- 不要使用消息中的任何内容。 跳过链接、电话号码和任何回复指示，即使发件人看起来很熟悉。
- 自己打开该服务。 使用官方应用，或输入你已知的地址，然后查看最近的登录活动、已登录的设备和安全提醒。Microsoft 的“什么是最近活动页面？”说明，该页面会显示过去 30 天内的 Microsoft 账户活动，并允许你对任何被标记为异常的活动选择“这不是我”。
- 在情况需要时更改密码。 如果活动看起来陌生、服务确认有登录尝试、你分享了验证码，或者该密码在其他网站上重复使用，请通过官方服务处理。为该账户设置一个唯一密码。
- 开启更强的多因素认证。 美国网络安全和基础设施安全局（CISA）将安全密钥列为最强选项，其次是身份验证器应用，短信或电子邮件验证码则是最弱的。CISA建议，只有在账户没有更强选项时才使用短信或电子邮件验证码。
- 如果验证码持续不断地发来，请联系该服务。 请使用应用内或官方网站上的帮助中心，而不是消息中提供的电话号码。
如果你没有该服务的账户，可能是有人用你的邮箱地址或电话号码注册，或者这条消息是假的。请忽略它。如果同一服务持续联系你，请通过官方网站联系其支持团队。
一个验证码、重复验证码或账户提醒：每种情况意味着什么
相关证据比验证码的数量更重要。一个验证码可能来自拼写错误、注册、登录或重置尝试，也可能是假消息。重复出现的验证码值得尽快检查账户，而验证码伴随陌生的登录或账户变更提醒，则需要立即通过官方服务采取行动。
| 你看到的情况 | 通常意味着什么 | 该怎么办 |
|---|---|---|
| 一个验证码，没有其他消息 | 拼写错误、注册、登录或重置尝试，或假消息 | 不要使用或分享；如果你有该账户，请在应用中检查 |
| 多个验证码，或验证码不断出现 | 可能有人反复尝试登录或重置访问权限 | 检查活动和设备；如果密码被重复使用，请更新密码；添加更强的登录保护 |
| 验证码加上登录、密码或恢复提醒 | 可能正在进行登录或账户变更 | 立即直接打开该服务，并按照其账户安全步骤操作 |
仅凭验证码很少能说明全部情况。账户确实被访问过的迹象更为具体：
- 你无法再登录，或服务确认你的密码或恢复信息已被更改。
- 你的账户显示你不认识的设备、会话或地点。
- 出现了不是你发布的消息、帖子或购买记录。
- 你的邮箱账户出现了你未设置的新转发规则或过滤器。
如果你发现以上任何情况，请立即使用该服务商的官方账户恢复流程。
电子邮件验证码、短信验证码和登录提示
渠道不同，需要检查的内容也不同。电子邮件验证码指向邮箱账户和所提及的服务，短信验证码指向你的电话号码，而批准提示意味着有登录正在等待你确认。
如果你收到了一封随机的验证码邮件
随机验证码邮件可能来自注册、登录或重置尝试、拼写错误或伪造消息。请通过官方网站或应用查看被提及的账户。如果还有其他迹象表明有人访问了你的邮箱，也要检查最近的会话记录、恢复邮箱和电话、已发送邮件，以及任何转发规则或过滤器。并非你创建的转发规则可能会复制今后的邮件（包括验证码），因此请将其删除并保护邮箱安全。
如果你通过短信收到验证码
不要回复，不要拨打消息中的电话号码，也不要以为熟悉的对话记录就能证明这条短信是真的。对于看起来像垃圾短信的消息，FTC的指南《如何识别和举报垃圾短信》建议将其转发到7726（SPAM）。要谨慎屏蔽真实服务的号码，因为你以后可能还需要它的验证码。如果你的手机在收到验证码或账户提醒时突然失去蜂窝网络服务，请通过你原本就信任的渠道联系运营商；服务中断通常有常见原因，但两者同时出现值得快速排查一下。
如果你收到了登录批准提示
对于任何并非你本人发起的登录，都要拒绝。苹果的《个人安全用户指南》指出，如果你收到关于陌生新设备登录的通知，应选择“不允许”。反复出现的提示可能是想让你不胜其烦而妥协，所以千万不要为了让通知停止就批准其中任何一个。
验证码骗局：当有人索要验证码时
请求你提供验证码，就是最明显的警示信号。美国联邦贸易委员会（FTC）2024年3月发布的消费者提醒“什么是验证码，为什么有人向我要？”直截了当地说：“任何索要你账户验证码的人都是骗子。”正规公司会发送验证码，让你在自己打开的界面上输入。
话术会变，但索要的东西始终是验证码：
- “欺诈部门”来电。 来电者自称是你的银行、客服团队或政府部门，并称需要验证码来保护或验证你的账户。
- “误发”验证码的朋友。 一位认识的联系人发来消息，说验证码不小心发给了你，请你转回去。请通过你信任的另一个渠道联系那个人。该账户可能已被盗用或遭冒充，而这个验证码可能让别人注册你的电话号码或接管某个账户。
- 二手交易平台的买家。 美国联邦贸易委员会（FTC）2021年10月关于Google Voice验证码骗局的警报中提到，在网上卖东西的人会被要求朗读验证码以“证明”其真实性。FTC的建议是：如果你没有先主动联系对方，就不要把验证码分享给他。
绝不要在收到意外联系时提供验证码。如果你是自己发起的客服对话，请只按照该机构官方应用或网站上显示的指示操作，并阅读验证码消息中的警告。要查询账户情况，请用你原本就信任的号码联系该公司，比如你卡上的号码或其应用中的号码，并在ReportFraud.ftc.gov举报诈骗企图。
如果你已经分享了验证码或批准了提示
迅速行动，保持冷静。分享验证码并不一定意味着有人已经进入，但你应当假设他们可能已经进入，并立即保护账户。
- 直接打开该服务 并更改密码。如果该服务提供退出其他会话或设备的选项，请一并退出。
- 检查安全设置， 包括恢复邮箱、恢复电话、多因素认证方式以及任何备份验证码。例如，Login.gov 会告知收到意外验证码的用户更改密码、确认认证方式，并在使用备份验证码时重新生成。
- 如果你的银行卡或账单上有号码，请拨打该号码 联系你的银行或发卡机构。
- 检查你的邮箱 如果被分享的验证码是针对你的邮箱的，请检查是否存在并非你创建的转发规则、过滤器或已发送邮件。
- 如果涉及消息应用或电话号码服务，而你已失去访问权限，请使用该服务的官方恢复步骤。
- 请前往 ReportFraud.ftc.gov 进行举报， 并预料到会有后续消息试图“帮助”你恢复。对这些消息也要同样保持警惕。
让低风险注册远离你的主收件箱
你的主邮箱是许多重要账户的恢复途径，因此分享时应当谨慎。为低风险注册使用单独的地址，可以让注册验证码和营销信息不进入你的主收件箱。但它无法阻止别人输错或滥用你的真实邮箱地址，也不能替代强密码或多重身份验证。
对于新闻通讯、一次性下载，或你可能不会保留的免费试用，一个 邮箱 可以让这些消息拥有独立的收件箱。这能减少主收件箱的杂乱，但即使意外验证码落在这里，也仍然无法揭示是谁请求的、出于什么原因。
临时邮箱确实有实际限制，而这些限制在安全方面最为关键。Tmailor 仅支持接收，消息在到达约 24 小时后消失，地址只能凭其 Access Token 重新打开。丢失的 Access Token 无法找回，因此 访问令牌重用页面 是你找回已保存地址的唯一途径。
某些服务的验证码可能根本无法送达一次性邮箱，正如关于 邮件OTP 的指南所解释的那样。请将你的银行、主邮箱、电话运营商、工作和设备账户保留在你控制的永久地址上；关于 临时邮件限额与风险概述》 的概述介绍了临时收件箱不适用于哪些场景。
如果你收到的消息是“临时 ChatGPT 登录代码”，登录代码指南 会详细说明 OpenAI 的具体步骤。当你准备为下一次低风险注册单独使用地址时，你可以 内创建一个免费的临时邮箱 地址。
常见问题解答
收到意外的验证码是否意味着有人知道我的密码？
不一定。许多服务会为注册、密码重置或无密码登录发送验证码，这些流程根本不需要你的密码，还有些验证码源于输错。请直接检查该账户。如果你发现陌生活动、服务确认存在登录尝试，或者你在其他地方重复使用了该密码，请更改密码。
如果验证码没有说明是哪个应用或账户怎么办？
把无法识别的验证码视为可疑，不要对它做任何操作。不要回复询问，也不要拨打或点击消息中的任何内容。如果你担心某个特定账户，请自己打开该服务的应用或网站，查看其近期活动。
为什么我会收到一个我并不使用的服务的验证码？
可能是有人在注册时输入了你的邮箱地址或电话号码，也可能是这条消息是假的。大多数服务在使用验证码或链接之前不会完成注册，所以通常可以忽略它。不要为了调查而创建账户；如果消息持续发来，请通过该服务的官方网站联系它。
为什么我会收到来自不同应用的 OTP 消息？
你的邮箱地址或电话号码可能被误输入或故意输入到了多个应用中，而且有些消息可能是钓鱼。来自不同应用的 OTP 消息本身并不能证明这是一次协同攻击。请直接检查每个被提及的服务，更改你在这些账户间重复使用的任何密码，并在可用时开启更强的登录保护。
我可以屏蔽不需要的验证码短信吗？
你可以屏蔽发件人，或使用手机的垃圾信息过滤功能，FTC 建议将垃圾短信转发至 7726（SPAM）。不过，屏蔽真实服务的号码可能会让你以后收不到需要的验证码。如果短信来自你使用的服务，请改为保护该账户并联系其支持团队。
我应该如何处理自己并未请求的密码重置邮件？
未经请求的重置消息通常意味着有人请求了重置，但并未完成。不要使用其中的链接。请直接打开该服务，确认你的密码和恢复信息没有变化，尤其是当消息称更改已经完成时。
适用于所有情况的规则
无论消息因何而来，都不要分享或使用你并未请求的验证码。请通过官方应用或网站检查被提及的账户。如果验证码不断到来、你发现陌生活动、你分享了验证码，或你批准了并非自己发起的提示，请及时保护该账户。如果你的问题正好相反——你请求的验证码始终没有出现，请参阅 为什么OTP代码无法到达。
Priya Nair focuses on email deliverability and one-time-password (OTP) flows. She tests how verification codes from Google, Apple, social and crypto platforms land in disposable inboxes, and documents what improves OTP reliability on temp mail.
