装有身份验证器应用的手机被盗：应优先保护什么
手机被盗和手机丢失是两种不同的问题。手机丢失时，问题在于如何重新登录；手机被盗时，关键在于别人会不会抢先登录。
以下说明了应该保护哪些内容以及先后顺序：手机和手机号、能够通过这部手机重置的账户，然后是身份验证器代码以及恢复账户访问权限的途径。具体步骤因设备、运营商和服务而异，因此本文介绍的是处理优先级，详细操作请查看各服务提供商的帮助页面。
为什么手机被盗比手机丢失风险更高
身份验证器代码只是第二道验证，但小偷拿到手机后可能获得的不止这些。NCSC指出，拥有设备且知道或能猜出设备密码的人，可能查看并导出其中保存的凭据；如果对方看到了密码输入过程，或本来就认识机主，这种情况尤其可能发生。如果密码保存在手机上，或者手机上登录着电子邮件账户，代码就可能让对方拼凑出完整的信息。
手机号也是另一个薄弱环节。CISA和FBI表示，短信未加密，SMS也无法抵御网络钓鱼；美国联邦贸易委员会警告说，短信验证可能无法阻止SIM卡调换攻击，即犯罪分子将你的号码转移到由其控制的SIM卡上。被盗的手机或SIM卡可能会收到原本发给你的验证码。
第一步：锁定或抹掉手机，并联系运营商
如果可以，请使用手机自带的查找设备功能远程锁定或抹掉手机。Google针对装有Authenticator的手机丢失或被盗所提供的指导是，确保他人无法访问验证码：使用远程抹掉选项，并退出手机上的账户。
然后立即联系你的移动运营商。美国联邦通信委员会建议立即报告盗窃事件，向运营商提供手机的IMEI号码，以便运营商有可能停用设备，并索取报告的书面确认。委员会还指出，可能需要提供警方报案记录，而且在报告之前产生的费用可能由你承担。询问运营商是否提供防止未经授权更换SIM卡的保护；如果提供，请按照FTC的建议为账户设置PIN码或密码。
第二步：保护电子邮件和可通过手机重置的账户
请使用另一台设备操作，并从电子邮件账户开始，因为许多账户都可以通过电子邮件重置；CISA建议优先保护电子邮件和金融账户。FCC表示，如果无法锁定被盗手机，应更改你曾用这部手机访问过的电子邮件、银行和社交网络账户的密码。
还要从主要账户中移除被盗手机。Google建议退出丢失或被盗手机上的账户；并表示，如果验证码已同步到Google账户，可以通过从账户中移除该设备来删除验证码。留意任何使用你手机号的账户是否能通过短信重置，并计划等情况稳定后，将这些账户改用更安全的验证方式。
第三步：处理验证码和账户恢复方式
如果你的身份验证器代码没有同步，Google表示，你需要访问每个设置过验证码的网站，移除旧代码并关联新设备。先处理最重要的账户，使用你保存的备用码或服务自身的账户恢复流程。NIST要求服务提供商在你报告身份验证器丢失或被盗后，提供使其失效的方式。
账户恢复也是攻击目标。NCSC指出，攻击者会针对账户恢复流程，因为它往往比登录验证更薄弱，所以只能通过服务的官方渠道开始操作。手机被盗并不会改变一条基本原则：正规的客服团队不会索要你的验证码、备用码、QR码或设置密钥。
事后：检查损失，并为下次做好准备
主要账户都安全后，请检查近期活动和这些账户上的活跃会话，并更改任何重复使用过的密码。如果手机上装有自托管钱包应用，请记住，钱包助记词与身份验证器代码是分开的；如果手机或助记词备份可能已经泄露，应将其作为独立的钱包安全问题处理。
最好的保护措施是在事发前做好准备。使用强密码而不是简单的短PIN码，并启用打开身份验证器应用前必须通过的锁定验证；Google将此功能称为Privacy Screen。将备用码离线保存，把验证码同步到保护措施完善的账户，注册不止一种第二步验证方式，并将手机的IMEI号码记录在安全的地方。
WEEX 提醒：忽略“我们找到你的手机了”之类的链接
WEEX提醒用户，诈骗者可能会发消息声称找到了你的手机，或表示可以为你解锁手机、恢复身份验证器，通常还会附上指向虚假登录页面的链接。按照FTC的建议，只通过你已知的电话号码和网站联系相关公司，并且绝不要向任何人透露验证码、备用码、QR码、设置密钥或助记词。本文内容不构成财务建议。
结论
装有身份验证器应用的手机被盗时，处理顺序很重要：锁定或抹掉手机并联系运营商，保护电子邮件和可通过手机重置的账户，然后替换最重要账户上的验证码和恢复方式。强密码、应用锁定、同步验证码以及离线保存的备用码，都能大幅降低下次手机被盗造成的影响。
常见问题
1. 装有身份验证器应用的手机被盗后，我应该先做什么？
如果可以，先锁定或抹掉手机，联系运营商，然后通过另一台设备保护电子邮件和重要账户。
2. 小偷能使用我的身份验证器代码吗？
这些代码只是第二道验证，但如果小偷拿到了手机，而手机密码较弱，或对方找到了已保存的密码，就可能进一步访问账户。NCSC指出，在这种情况下，存储的凭据可能会泄露；Google的Privacy Screen则会在应用打开前要求通过PIN码或生物识别验证。
3. 即使我已经锁定手机，也应该联系运营商吗？
应该。FCC建议报告盗窃事件，请运营商停用设备，并索取书面确认。还要询问运营商是否提供防止未经授权更换SIM卡的保护。
4. 手机被盗后，短信验证码是更安全还是风险更高？
风险更高。CISA表示，SMS未加密，也无法抵御网络钓鱼；FTC表示，短信验证可能无法阻止SIM卡调换攻击。请计划将重要账户改用更安全的验证方式。
5. 我需要更改密码吗？
需要。请使用另一台设备更改电子邮件、银行以及其他曾通过这部手机访问过的账户密码。如果无法锁定被盗手机，FCC建议这样做；从电子邮件账户开始是合理的选择。
