别再问链接了，先看这篇，我把这种“伪装成活动页面”的链路追完了：你以为删了APP就安全，其实账号还在被试；把家人也提醒到位

每日大赛今日专栏 2026-05-31 121

前言最近看到不少朋友收到“活动邀请”“报名链接”“内部群发的报名页”，点进去后对方就能以某种方式反复尝试你账号的登录或骚扰你的联系人。这个套路看起来像正常的活动页，实际上却在链路里藏着跟踪、重定向，甚至是借用第三方登录/授权漏洞的“试探”。我把一个典型链路抽丝剥茧，顺便给出一套实操清单——点过、不确定、已经删APP、或者想提醒家人的，都能照着做。

这类伪装链路长什么样

表面：活动页、报名表、内部分享的表单、看似官方的会议/抽奖页面。
实质：短链接/中间跳转 + 跟踪参数（utm_、fbclid、gclid 等） + 第三方资源（像图床或分析脚本） + 可疑重定向到授权页或深度链接。
恶意目的可能包括：
通过链接参数或 Referer 泄漏已登录的 token/会话信息；
引导用户走 OAuth/第三方登录流并在授权页面植入恶意回调，骗取权限；
利用 URL 中明文的 token/id 来采集可用于试探的账号线索；
通过像素/外部请求记录谁点了链接、来自哪个设备和 IP，便于后续定向攻击。

为什么“删APP”并不等于安全

OAuth/第三方授权的令牌通常在服务端有效，删除客户端并不会撤销这些令牌。
有些服务允许长期有效的刷新令牌（refresh_token），攻击者一旦拿到刷新令牌就能不停生成新访问令牌。
设备授权/登录会话可能仍在其他设备上保持，或被第三方服务列为已授权应用。
链接点击可能已经把你的设备/账号数据（比如电话号码、IP、已登录信息）传给了第三方，成为后续试探的靶标。

立即要做的（如果你点过这个链接或不确定）按优先级执行，下列步骤能最快降低风险并排查是否已被利用。

1) 先断开可能的会话与授权

Google：账户 > 安全 > 第三方应用访问权限（或“已连接的应用”），撤销陌生或可疑的应用访问。
Facebook：设置 > 应用与网站，移除不认识的条目。
Apple：iPhone/Settings > [你的名字] > 密码与账户/应用与网站，取消授权。
其它：在各平台的安全/隐私/已授权应用里查找并撤销类似权限。

2) 修改密码并开启双因素

修改重要账号（邮箱、支付、社交）的密码，使用长且唯一的密码。
开启双因素认证（2FA），优先使用基于应用的验证码（如 Authy、Google Authenticator），不是短信的话更安全。

3) 撤销活跃登录与设备

在账号安全页面查看“最近登录活动”或“设备管理”，登出所有不认识的会话并移除可疑设备。
对于 Google：Security > Your devices > Manage devices，选择“Sign out”。
对于其他平台也有类似功能，一并操作。

4) 检查恢复信息（邮箱/电话号码）

确认绑定邮箱、备用邮箱、恢复电话没有被篡改。
如果发现陌生的备份邮箱或手机，立刻移除并改密码。

5) 查看是否有异常授权或被第三方读取联系人

一些活动页面会请求读取你的联系人或日历权限，检查已授权应用是否有这类权限并撤销。
如果联系人被获取，尽快通知亲友。

如果已经删除了 APP（但没撤销授权）删除 APP 只是清理了本地客户端。登录提供方那边的授权还在，必须去账号设置里手动撤销授权。把“撤销第三方访问”作为必做项。

如何分析一个可疑链接（给稍懂技术的朋友）

先不要在本机浏览器直接打开。可以用以下方式查看跳转链：
curl 用法（打印最终跳转的目标）： curl -s -o /dev/null -w "%{url_effective}\n" -L "短链接或可疑链接"
查看重定向链和每步的响应头： curl -s -D - -o /dev/null -L "链接"
使用第三方 URL 扫描服务：urlscan.io、VirusTotal 的 URL 扫描，可以看到页面里引用的外部资源、像素、iframe 等。
查找 URL 中可疑参数：注意 utm、fbclid、gclid、token、auth、accesstoken、session_id、email 等字段；若看到明文令牌或长串 id，需要警惕。
若链接带有 #access_token= 形式的片段，点击会把 token 放在浏览器地址栏，可能被 Referer 泄露给外部资源。

给不同人群的具体操作清单

普通用户（不想看技术细节） 1) 不点陌生短链接，先问发件人确认； 2) 如果点过：尽快改邮箱密码并开2FA，检查“已连接的应用”并撤销不认识的； 3) 把这条消息发给家人，提醒他们不要轻易点链接。
略懂技术的用户（愿意自己查） 1) 用 curl 或 urlscan 查看重定向链； 2) 检查 URL 是否包含可能的令牌或泄露字段； 3) 在账户安全里撤销可疑授权、终止活跃会话、改密码、开2FA。
家里长辈/不太懂技术的成员 1) 不用“恐吓式”说法，直接给一句话指令：不要点这个链接——我来帮你看； 2) 若已经点过：把他们的邮箱/微信/支付宝/银行等重要账号告诉你，帮他们按“改密码、开2FA、检查授权应用”的顺序做； 3) 若不方便远程操作，建议带设备去信任的线下服务点或由你现场操作。

如何更好地识别这类陷阱