11 5 月
這陣子我一位朋友在 X（也就是原本的 Twitter）上碰到一件很崩潰的事：帳號突然開始自動發出大量負面、帶羞辱字眼的垃圾訊息，標註了一堆陌生人，還用私訊轟炸他的聯絡人。他被封鎖、被檢舉，合作視窗也差點炸掉。他驚慌地問我：「怎麼辦？這是什麼情況？是我按到什麼嗎？」
這不是他按到什麼，而是典型的網路釣魚攻擊（Phishing）。攻擊者騙走他的登入憑證，接管帳號拿來當成散佈仇恨言論、加密貨幣詐騙或色情垃圾訊息的機器人。這類攻擊在 X 上一直沒少過，而且手法越來越精細：偽裝成官方通知、假驗證信、假安全警告，甚至偽裝成朋友傳來的「看看這個在說你」連結。
如果你正在經歷同樣的狀況——看著自己的帳號像中邪一樣亂發文、亂私訊，深呼吸，這篇文章會一步步帶著你從緊急止血、清除混亂、重新拿回主控權，到最後把帳號鎖得比金庫還緊。文章很長，因為每個環節我都希望講得夠細，讓你不用再四處拼湊資訊。
一、你怎麼知道自己中了 X 的釣魚攻擊？
很多人第一時間會以為是「被盜帳號」，但在 X 平台上，「被釣魚然後帳號被操控」和「單純密碼外流」的表現會有些不一樣。以下是我整理出來最常見的徵兆，你可以快速比對一下：
帳號異常自我檢查表
| 異常行為 | 可能只是密碼外洩 | 高度懷疑是釣魚攻擊 |
|---|---|---|
| 開始追蹤一堆不認識的帳號 | ✓ | ✓ |
| 大頭貼或個人簡介被改成促銷連結 | ✓ | ✓ |
| 發佈大量重複的「免費送幣」推文 | ✓ | ✓ |
| 收到 X 官方信件說有可疑登入，但你沒注意到 | ✓ | ✓（釣魚信也可能是假的） |
| 你印象中有在奇怪的頁面輸入過帳密 | 較少 | ✓ |
| 登入記錄中有陌生的「第三方應用程式」授權 | 較少 | ✓（最關鍵指標） |
| 信箱中多了幾封偽裝成 X 安全通知，誘使你再次點擊連結 | 無 | ✓ |
| 被朋友通知收到你發的「幫我投票」或「你看這張照片是你嗎」私訊 | 可能 | 極高 |
如果你是被釣魚攻擊，那麼攻擊者不只拿到你的密碼，往往也誘導你授權了某個第三方應用程式，讓他們可以用程式方式代替你發文、傳私訊、追蹤。所以你會發現，即使改了密碼，有時候他們還是能繼續發文——那就是因為授權沒撤掉，這是很多人卡關的地方。
二、緊急處置：先止血，不要讓傷害擴大
當你發現帳號正在亂發垃圾訊息時，腦袋可能一片空白。請先照著下面的順序做，每一步都很重要。我自己把它濃縮成一份「30 分鐘緊急復原工作清單」，你可以直接照表操課。
緊急復原 7 步驟（附預估時間）
| 步驟 | 要做的事 | 預估時間 | 備註 |
|---|---|---|---|
| 1. 強制中斷連線 | 到設定 → 安全性與帳號存取 → 應用程式與工作階段 → 登出所有其他裝置 | 2 分鐘 | 立刻阻止攻擊者繼續操控 |
| 2. 更改密碼 | 使用強大且沒在其他地方用過的密碼，建議至少 16 位亂數 | 3 分鐘 | 不要用跟過去類似的密碼 |
| 3. 啟用雙因素驗證（2FA） | 強烈建議用安全金鑰或驗證器 App，不要只用簡訊 | 5 分鐘 | 簡訊可能被 SIM 卡交換攻擊攔截 |
| 4. 撤銷第三方應用程式授權 | 設定 → 安全性與帳號存取 → 應用程式與工作階段 → 已連線的應用程式，逐一撤銷你不認識的 | 5-10 分鐘 | 這一步沒做，帳號還是在攻擊者手上 |
| 5. 檢查並更新信箱密碼與安全設定 | 到註冊信箱也做同樣的密碼更換與 2FA 設定 | 5 分鐘 | 攻擊者可能也拿到了信箱權限 |
| 6. 檢查恢復碼與備用聯絡方式 | 確認你的備援信箱、手機號碼沒被修改 | 3 分鐘 | 有些人被改掉備援資訊，導致無法恢復 |
| 7. 開始清理垃圾內容（見下一章） | 使用批次刪除工具或搜尋語法，快速刪除被污染推文 | 10-15 分鐘 | 先不要刪帳號，保留證據有時對後續申訴有幫助 |
登出所有其他裝置的路徑對照
因為 X 的介面改版頻繁，不同裝置的路徑略有差別，整理如下：
- 桌面網頁版：左側選單「更多」→「設定與支援」→「設定與隱私」→「安全性與帳號存取」→「應用程式與工作階段」→「工作階段」→「登出所有其他工作階段」
- iOS App：點左上角頭像 →「設定與隱私」→「安全性與帳號存取」→「應用程式與工作階段」→「工作階段」→「登出所有其他工作階段」
- Android App：同 iOS 路徑，只是介面圖示位置些微差異
按下「登出所有其他工作階段」後，X 會要求你再次輸入密碼確認。完成後，攻擊者手上那個登入中的連線就會被切斷，但這還不夠，因為他們只要還有密碼或授權，就能重新登入，所以接下來一定要改密碼和撤銷應用授權。
三、清除垃圾訊息，把帳號從地獄撈回來
帳號取回控制權後，接下來要面對的是那一整排不忍直視的推文和私訊紀錄。很多人一慌就手動一則一則刪，刪到凌晨三點還弄不完。其實有更聰明的方法。
3-1 大量刪除被污染的推文
X 沒有內建「一次刪除所有推文」的按鈕，但你有三個實用策略：
策略一：用 X 的進階搜尋搭配手動刪除
這適合發文量不大，或是只想刪除某段時間內的特定內容。在搜尋欄輸入：
text
from:你的帳號 since:2026-04-01 until:2026-05-10
這樣會列出那段時間你帳號所有的發文，可以一則一則點刪除。缺點是量大時很費時。
策略二：使用第三方推文刪除工具
有許多線上服務可以掃描你的推文存檔，然後批次刪除。幾個常見且相對安全的選項：
- TweetDelete
- TweetDeleter
- Circleboom
使用前請注意：
- 一定要先在 X 設定中建立「推文存檔」下載備份，避免誤刪重要回憶。
- 授權這些工具時，完成工作後請立刻回到上一章節提到的「已連線的應用程式」中撤銷它們的授權，確保不會又多一個潛在風險。
- 大部分工具免費版有每日刪除上限（例如 3200 則），如果你被污染的推文破萬，可能需要分幾天處理，或考慮付費方案。
策略三：建立完整的推文存檔後，一口氣清空整個帳號重來（極端做法）
如果垃圾內容實在太多，而且帳號過去發文沒有太重要的東西需要保留，有些人會選擇「把有意義的推文手動收藏或截圖，然後用工具全刪，重新開始」。這是一個很痛但有效的方案，尤其適合個人品牌帳號，因為留下那些負面垃圾訊息的時間軸，對形象殺傷力可能比空白帳號更大。
3-2 刪除私訊垃圾訊息
被發送出去的私訊，你是無法「收回」的，對方已經看過了。但你可以做的是：
- 一一向收到垃圾私訊的聯絡人發送簡單的道歉與說明訊息（下一節有模板）。
- 把自己這邊的對話串刪除，避免後續視覺混亂。
- 如果你看到私訊中有釣魚連結被大量散佈給你的追蹤者，建議立刻發一則公開推文示警（見下方公開聲明建議）。
四、修復社交關係與聲譽：公開聲明與道歉策略
當你的帳號被用來攻擊他人、發仇恨言論或詐騙內容時，傷害已經造成。不只你的朋友生氣，還可能被誤會是你本人發的。這時候的溝通策略決定了你能挽回多少信任。
4-1 公開推文聲明模板（可直接複製修改）
我建議在事發後 24 小時內發出，語氣誠懇、簡潔、不推託。以下提供三個版本，視情況選用：
版本一：被拿來發送辱罵與負面攻擊內容
各位，我的帳號在 X/X 遭到網路釣魚攻擊，被不肖人士操控發送了許多充滿攻擊性與負面的推文及私訊。目前我已取回帳號控制權，並全面更新安全設定。對於那些傷人的內容，我感到非常抱歉，那些完全不代表我的立場。如果您收到奇怪私訊，請勿點擊任何連結。感謝這段時間提醒我的朋友們。
版本二：被用來發送加密貨幣詐騙
請注意：我的帳號在過去 X 小時曾被釣魚攻擊，發送了虛假的投資／空投訊息。請不要點擊任何連結或提供錢包授權。我從來不會私訊要求任何人轉帳或投資。現在帳號已安全，謝謝大家的體諒，也為這些困擾深深致歉。
版本三：輕微騷擾但不想太張揚
近期帳號有異常活動，已經處理完畢。若收到來自我帳號的可疑連結或訊息，請忽略。抱歉造成困擾！
4-2 私訊補救模板（給收到垃圾私訊的朋友）
一個一個私訊道歉雖然累，但對於長期建立的真實人際關係非常值得。你可以簡單寫：
嗨（名字），不好意思打擾。我的 X 帳號前幾天被釣魚攻擊，所以你可能有收到一封來自我帳號的奇怪私訊，那不是我發的。現在帳號已經安全了，也請你別點那則訊息裡的任何連結。真的很抱歉造成困擾！
這樣寫，對方幾乎都會包容，甚至會反過來提醒你該怎麼加強安全。
五、深入解決：當帳號被完全封鎖或無法登入時該怎麼辦？
上面的步驟假設你還能登入。但如果釣魚攻擊者已經改了你的密碼、信箱或電話號碼，你完全進不去，就要走另一條路。
5-1 X 帳號救援流程（詳細步驟）
- 前往 X 的帳號救援頁面
網址：https://help.twitter.com/forms/signin
選擇「我需要恢復我的帳號」。 - 輸入你的帳號名稱或用戶名稱
如果你不記得完整的 @username，可以輸入信箱或電話號碼。 - 回答驗證問題
X 可能會要求你提供：- 註冊時使用的電子郵件地址
- 最後一次成功登入的日期（大概就好）
- 你曾使用過的舊密碼（即使不完整也有幫助）
- 驗證你的身分，可能要求提供身分證件（某些案例）
- 等待 X 客服回覆
這時候請務必檢查信箱的垃圾郵件資料夾，X 的回信常常被誤判為垃圾信。沒有收到回覆的話，每隔 48 小時可以再提交一次，不要短時間大量重送，可能會被系統視為垃圾請求。 - 取回後立刻執行緊急處置章節的所有動作
不要等到又發作才補強。
5-2 提出申訴與檢舉自己帳號的怪現象
一個有點違反直覺的做法：在你拿回帳號控制權之前，可以先請朋友幫你「檢舉」自己的帳號，註明「此帳號疑似被盜，正在發送垃圾內容」，這有可能讓 X 官方提前介入限制該帳號的發文功能，阻止傷害擴大。事後你取回帳號時，再透過申訴管道說明即可。
六、強化帳號安全：不只修好，要修到讓攻擊者嫌麻煩
很多人修復完就把這件事拋在腦後，結果半年後再來一次。根據我看到的案例，絕大多數二次受害的人都是因為：覺得「應該沒人會再盯上我了吧」。
下面是我認為最實際的安全強化清單，每一項都有它的必要性。
帳號安全強化檢查清單
- 使用密碼管理器產生並儲存完全隨機的密碼（推薦 1Password、Bitwarden，不要用瀏覽器內建的，萬一自己電腦被裝了惡意擴充套件會一起洩漏）
- 啟用雙因素驗證，使用驗證器 App（Google Authenticator、Authy 等），並將恢復碼列印或手抄下來，放在錢包或實體安全處
- 關閉簡訊 2FA 選項（即使 App 設定中顯示簡訊為備用，也建議停用，因為簡訊攔截已非常普遍）
- 在 X 的「安全金鑰」選項中，加入硬體金鑰（如 YubiKey），作為最強驗證手段
- 撤銷所有不必要的第三方應用程式授權，保持「已連線應用程式」清單低於 5 個
- 設定帳號復原代碼，並把備援信箱的安全等級拉到相同高度（也要開 2FA）
- 開啟 X 的「密碼重設保護」功能：在「安全性與帳號存取」→「安全性」中，勾選「需要電子郵件和電話號碼才能重設密碼」（若此選項有出現的話）
- 不要在任何非 X.com 的頁面輸入帳密，養成先檢查網址列的習慣
帳號復原代碼存放方式比較
| 存放方式 | 安全性 | 便利性 | 建議 |
|---|---|---|---|
| 存在 Email 草稿 | 低（信箱被破就全拿） | 高 | 不建議 |
| 存手機備忘錄 | 中低（手機被解鎖就暴露） | 高 | 不建議（除非備忘錄有獨立加密） |
| 寫在紙上放錢包 | 高（台灣偷錢包通常不為了這個） | 中 | 可以，但要留複本 |
| 密碼管理器 | 高（主密碼夠強） | 高 | 最推薦 |
| 鎖在家裡保險箱 | 極高 | 低 | 適合極高風險用戶 |
七、釣魚攻擊的真實樣貌：那些你看一眼就會信的陷阱
我發現許多人即使聽過「釣魚攻擊」這個詞，實際遇到時還是會上當，因為攻擊者的手法太像真的了。下面拆解幾種最常見的 X 釣魚手法，明白它們的運作機制，你就等於替自己打了一劑疫苗。
7-1 假冒 X 官方的「帳號違規」警告信
你會收到一封 Email，標題類似：「Your X account has been flagged for suspicious activity. Please verify your identity within 24 hours to avoid suspension.」
信件 LOGO、配色、按鈕都跟真正的 X 郵件一模一樣，但仔細看寄件人地址，可能是：
- x-support@verification-x.com
- noreply@twitter-security.net
- 或是看起來像 x.com 但其實是 xn--x-2ga.com 這種 IDN 同形異義字網域
點進去後會到一個假的登入頁面，網址可能長這樣：
- x.com-verify.auth-account.com/login
（真正的 X 登入頁面只會是 x.com 或 twitter.com 主網域）
你只要在上面輸入帳密，下一秒攻擊者就拿到了。
7-2 偽裝成朋友的「這是你嗎」釣魚私訊
這大概是近三年最氾濫的手法。你收到朋友的私訊：「LMAO is this you? 😂」加上一個連結，點進去是一個看起來像 X 登入頁面的網站，其實就是釣魚頁面。因為來自朋友的帳號，你的信任門檻瞬間降低，很多人就這樣中招。更可怕的是，你朋友根本不知道他發了這則訊息，因為他也是受害者。
7-3 假驗證、假藍勾勾釣魚
有人標註你：「恭喜！你被選為 X 菁英創作者，請在這裡完成驗證以領取藍勾勾。」或是直接收到私訊，裡面有一個 Google 表單或假官方頁面，要求你輸入帳號密碼，甚至信用卡資訊。請記住：X 的藍勾勾驗證永遠只會在官方 App 或官網的訂閱流程中進行，絕對不會透過私訊或外部表單要求你輸入密碼。
7-4 OAuth 授權陷阱（最致命）
這是最難察覺的一種，也是為什麼我前面一直強調要檢查「已連線的應用程式」。
你會在某個網站看到「使用 X 帳號登入」按鈕，點下去後跳轉到一個看起來像 X 授權頁面的網頁。它會要求你授權一個 App 讀取你的推文、發送推文、傳送私訊。一旦你按下「授權」，攻擊者就可以透過程式化的方式控制你的帳號，不需要知道你的密碼也不受 2FA 阻擋（因為你已經授權了）。
這就是為什麼即使你改密碼，他們還是能繼續發送垃圾訊息，直到你親手撤銷那個應用程式授權。
八、心理與長期復原：不要因為一次被盜就放棄這個帳號
帳號被釣魚攻擊後，很多人會陷入自我責備：「我怎麼會這麼笨？」「我是不是不適合使用社群媒體？」甚至因為羞恥感而不敢公開說明，選擇刪除帳號躲起來。我想說的是：這不是你的錯。
釣魚攻擊的本質就是利用人類的認知弱點和信任機制，它是一種經過精密設計的心理操控。即使是資安研究員，也有不小心差點上當的時候。攻擊者寄出一百萬封釣魚訊息，只要千分之一的人一時恍神，他們就成功了。你只是正好在那個恍神的瞬間，點了下去。
如果你決定留在 X 上，幫自己建立一個新習慣：每次登入任何重要服務前，都先確認網址；任何要求你輸入密碼的連結，一律改為自己手動打網址或從官方 App 進入。 這個小習慣，勝過任何防毒軟體。
常見問答（FAQ）
以下整理了我自己和身邊朋友最常被問到的問題，一併解答。
Q1：我已經改了密碼，為什麼帳號還是在亂發文？
A1：因為攻擊者很可能不是靠你的密碼在操作，而是透過你授權過的第三方應用程式。請立刻到「安全性與帳號存取」→「應用程式與工作階段」→「已連線的應用程式」，把所有你不知道的授權全部撤銷。改密碼不等於撤銷授權，這是最常見的誤解。
Q2：刪掉那些被盜期間的推文，會不會影響我未來申訴或法律追訴的證據？
A2：如果你有打算報警或提起訴訟，可以先截圖，或從 X 下載完整的推文存檔，再進行刪除。一般來說，X 端也會保留記錄一段時間，但截圖是最保險的。
Q3：收到 X 官方的安全通知，我怎麼知道它是真的還是假的？
A3：真正的 X 官方信件只會從 @x.com 或 @twitter.com 寄出，且不會要求你點擊連結後輸入密碼。你可以在瀏覽器自己輸入 x.com 網址，直接到帳號設定的「安全性」頁面查看是否有安全相關通知。任何信件裡附的連結，都用滑鼠懸停看看真實網址，如果不放心就直接從官方管道登入處理。
Q4：我的帳號被用來追蹤了一堆垃圾帳號，有沒有快速取消追蹤的方法？
A4：有。你可以用一些第三方工具如 Circleboom，它可以幫你列出最近追蹤的帳號並批次取消。同樣，用完記得撤銷應用程式授權。
Q5：雙因素驗證的備用碼遺失了，但我現在還能登入，該怎麼補救？
A5：進入「安全性與帳號存取」→「安全性」→「雙因素驗證」，選擇你使用的方法（驗證器 App 或安全金鑰），裡面通常有「取得備用碼」或「重新產生備用碼」的選項。立刻產生一組新的，舊的會失效。
Q6：X 的客服一直沒回我，還有什麼方法能加速？
A6：可以嘗試透過 X 的官方帳號 @Support 發送私訊，說明你的案例編號與情況。雖然不一定保證加速，但有人因此獲得回應。此外，有少數個案透過商標或版權申訴管道間接吸引注意，但那不是常規做法。保持耐心，重複提交時盡量附上更多細節。
Q7：我該去報警嗎？
A7：如果帳號被用來進行違法行為，例如發送詐騙連結導致他人財損、散佈兒少性虐待內容等，建議務必報警，因為這可能涉及刑事責任，你需要自保並證明自己也是受害者。報警時提供釣魚信件、異常登入 IP 記錄（可從帳號資料中下載）、垃圾推文截圖等證據。
Q8：使用第三方刪除工具安全嗎？它們會不會偷我帳號？
A8：選擇有口碑的工具，並確保它們只要求「讀取和刪除推文」的權限，而非「發送推文、讀取私訊」等過度授權。使用完畢立刻撤銷授權。把這類工具想成一把用完就該還回去的鑰匙，不要讓它一直掛在你的帳號上。
Q9：我的帳號被限制功能了（例如不能發文、不能私訊），要怎麼解鎖？
A9：通常這表示 X 偵測到你的帳號有異常活動，暫時凍結功能來保護平台。你需要到 X 的帳號支援頁面，驗證手機號碼或提供身分確認，通常 48 小時內會解開。過程中也請一併清除垃圾內容，讓系統知道帳號已恢復正常。
Q10：我有好幾個社群帳號，有沒有一次管理安全設定的方法？
A10：雖然無法統一管理，但你可以排一個「安全稽核日」，每月花 15 分鐘，把所有重要帳號（X、Google、Facebook、IG、Email）照上面清單快速巡一遍：檢查授權、檢查活動記錄、確認備援資訊。習慣成自然。
結語與持續精進
X 的生態決定了這裡永遠會有釣魚攻擊，因為一個有影響力的帳號對攻擊者來說就是免費的擴音器。我們無法阻止壞人撒網，但可以讓自己的帳號變得難以得手。經歷過這樣的事件，你會比大多數人更懂得如何保護自己的數位身分，這份經驗甚至可能讓你未來在職場或生活中幫到其他人。
最後幫你畫重點：
- 授權管理比改密碼更重要
- 安全金鑰或驗證器 App 是現階段最強保護
- 任何要你輸入密碼的連結都先懷疑
- 備份代碼、備援信箱要同步強化
只要做到這幾點，你的帳號就會是那顆攻擊者嫌麻煩而跳過的堅果。希望這篇長文能成為你口袋裡的復原指南，也歡迎你分享給需要的朋友——說不定你的一個轉發，就阻止了一場災難。
