如果你刚点了那种“爆料链接”，先停一下：这种“爆料站”用“安全检测”吓你授权
不少人被“爆料”“独家”“内幕”这样的标题吸引，点进去后看到一个自称要做“安全检测”的弹窗或页面，要求你授权、允许通知、输入手机验证码或安装扩展。表面看起来像是为了防刷或防机器人，实则很多都是用“安全检测”这一幌子来骗取权限，获取账号、联系人、消息甚至钱财。下面把这些套路拆开来，告诉你怎么辨别、怎么处理，以及最实际的应对步骤。
这种“安全检测”通常怎么骗你
- 假装是为了防刷、防骚扰、验证人机：页面会说“为保障账户安全，请先完成安全检测并授权本站”，并给出一个看起来像正规 OAuth（用 Google 登录/授权）的按钮。
- 要求“允许通知”或“安装扩展”：如果你允许通知，站点就能推送大量广告诈骗链接；若安装未知扩展，可能会读写网页数据、窃取登录信息或自动代发消息。
- 以输入短信验证码或将账号“绑定”做验证：有些页面会要求你把手机验证码粘贴到网页上（或转发），实质上是帮诈骗者完成账号转移或绑定。
- 要求“查看和管理邮箱/联系人/日历/文件”等权限：通过 OAuth 授权后，恶意方能读取或发送邮件、访问云端文件、联系你的联系人实施二次诈骗。
如何快速辨别危险页面（一分钟内判断）
- URL 可疑：域名不是你熟悉的网站、域名拼写怪异或包含随机字符，即使有 HTTPS 也不能安心。
- 页面文案施压：限时、紧急、恐吓你“账号将被封”“内容会立即删除”等。
- 权限请求过多：要求你“管理邮件并发送邮件”“访问全部文件”“管理联系人”这样的高权限，不合理。
- 未显示开发者信息或来源不明：如果是用 Google 登录授权，查看授权弹窗里的开发者或应用名是否可信。
- 要求输入刚收到的短信验证码或“复制粘贴”验证码：正规服务不会要求你把验证码发给第三方页面。
如果你还没授权：马上关闭页面
- 直接关闭该标签页，不要与页面进行任何交互。
- 如果页面弹出下载或安装提示，拒绝并不安装任何插件或应用。
- 清除浏览器缓存和 Cookie，以免同一站点后续自动识别你并继续骚扰。
- 如果曾经允许通知，去浏览器设置里撤销该站点的通知权限。
如果你已经授权或输入验证码：立即采取这几个步骤
- 断开授权
- Google 账号：进入“安全”→“第三方应用访问权限”或“已连接的应用”，撤销可疑应用的访问权限。
- 其他平台同理，尽快在账户安全设置里撤销连接。
- 更改密码并启用两步验证
- 对被授权的平台立即更换密码。若账号用于多个服务，优先更改最关键的（邮箱、银行、社交）密码。
- 启用强认证（如 Google 验证器、硬件密钥或短信之外的 MFA）。
- 检查账号活动与设置
- 查看登录活动、最近会话、已添加的恢复邮箱/电话号码。
- 检查邮件转发规则、自动回复、联系人列表中是否有异常删除或新增。
- 撤销可疑浏览器扩展与插件
- 在扩展管理中卸载不熟悉或近期安装的插件；必要时重置浏览器设置。
- 报告与求助
- 向你使用的平台举报该应用或 URL（比如 Google 的“报告恶意网站”）。
- 如果已发生财务损失，联系银行或支付平台冻结相关交易并报警。
- 检查设备与账号是否被植入矿工/后门
- 用可信的安全软件扫描设备，必要时在干净环境中更改密码。
长期防护清单（把风险降到最低）
- 对“Sign in with”或“授权”窗口仔细核对开发者信息和请求权限，读权限说明，不要盲点“允许”。
- 不要把验证码告诉任何页面或陌生人；验证码等同于登录凭证。
- 安装浏览器扩展只从官方商店下载，并查看评论与开发者信息。
- 对点击来源保持怀疑：群里转发、社交媒体“独家爆料”链接先在新标签页查看域名再决定。
- 把重要账号（邮箱、支付、云存储）绑定 MFA，优先使用硬件或应用认证器。
如何把这类链接告诉朋友或同事（一句话示例） “别点那个爆料链接，页面要你授权安全检测，很可能是要获取你账号权限——别输入验证码也别允许通知。”