2026 年 11 月 9 日，Hudson Rock 发布了 Remus Stealer 的宣传材料和 Gmail 收件箱界面截图；但其调查没有受控验证密码更改、会话撤销后仍能读取新邮件这一说法。截至 2026 年 11 月 13 日，不能据此认定 Gmail 存在漏洞。本周先用可信设备核查 Google 账号和设备；只有发现异常时，再按官方流程撤销访问、检查设备与 Gmail 设置。(Hudson Rock 原始调查)
这篇适合看到 Remus Stealer 或 Gmail 邮箱读取报道、希望分清已证实事实与宣传说法的个人用户。
如果你发现账号有陌生活动，或担心验证码、恢复邮件被滥用，下面的检查顺序可帮助你决定先处理账号、设备还是收件规则。
最后更新于 2026 年 11 月 13 日；事件证据核实自 Hudson Rock 原始调查及 11 月 12 日媒体对 Google 回应的转述，操作步骤核对自 Google 官方帮助资料。目前引用的材料没有提供受控测试，证明完成账号恢复后 Remus 仍能读取新邮件；若 Google 发布正式说明或调查出现重要补充，应重新核对结论。
看到消息时，先区分截图、宣传与验证
Hudson Rock 在 11 月 9 日的调查中展示了 Remus Stealer 广告材料和邮箱界面截图，并联系开发者及一名公开认可该功能的人。界面截图与受访者陈述说明有人在宣传这种能力，也显示了所提供材料中的邮箱画面；它们不等于研究人员在可复现、受控条件下完成了账号恢复后读取新邮件的测试。
| 信息 | 目前能支持的判断 | 不能据此推出 |
|---|---|---|
| Remus 宣传材料及收件箱截图 | 有人宣传可从面板查看受影响邮箱，截图展示了界面 | 功能已在独立测试中验证，或所有受影响账号都会被持续读取 |
| 开发者及自称使用者的陈述 | 当事人声称密码更改或会话处理后仍有访问 | 账号已完成全面恢复，且研究者确认新邮件持续可读 |
| 媒体转述的 Google 回应 | Google 表示这不是 Gmail 或 Google 漏洞，而是针对个人设备的信息窃取活动 | Google 已发布针对该事件的官方公告，或单个用户的设备已被确认感染 |
因此，“账号异常”“设备感染”“邮箱内容暴露”和“Gmail 服务漏洞”是四种不同判断。窃取个人设备上的会话材料，可能使账号访问受到影响，但不能因此把问题等同于 Gmail 服务本身被攻破。11 月 12 日媒体称 Google 表示不存在 Gmail 或 Google 漏洞，并将事件归为针对个人设备的第三方信息窃取活动；这是媒体对公司回应的转述，不应写成已查到的 Google 官方事件公告。(Inc 对 Google 回应的报道)
评估风险时，把账号迹象和设备迹象分开
| 你观察到的情况 | 更合理的下一步 | 不要直接下的结论 |
|---|---|---|
| 只是读到新闻，没有异常通知或设置变化 | 从可信设备查看账号近期安全事件和设备清单 | “我的设备已经感染 Remus” |
| 有不认识的登录事件、设备或恢复信息变更 | 从可信设备依 Google 官方步骤保护账号，并核查受影响设备 | “只改密码就能证明风险已解除” |
| Gmail 有陌生转发、过滤器或第三方授权 | 检查规则和授权的具体内容，撤销未经你设置的项目 | “这一定是 Remus 所为” |
| 已无法登录，或恢复信息被改 | 进入 Google 官方账号恢复流程 | 继续在疑似不安全的设备上反复登录 |
没有异常迹象时，查看账号安全记录是低干扰的核查，而非感染诊断。Google 官方的受损账号指引建议检查近期安全事件、已登录设备，并移除你没有设置的 Gmail 标签、过滤器或转发规则；发现可疑活动时，再依页面提示继续处理。账号活动记录有助于发现访问异常，但不能单独识别某种特定恶意软件。(Google 官方受损账号指引)
发现异常后，从可信设备逐项撤销访问
若你确实看到陌生设备、登录事件或账号设置变更，按下面顺序处理。若怀疑当前电脑或手机本身受感染，先停止用它访问账号，改用你能信任的设备；只换密码，不能证明设备已经清理，也不能证明其他访问路径都已撤销。
- 打开近期安全事件。从可信设备进入 Google 账号的“安全性”区域，查看近期事件。对不属于你的操作，按页面提示标记并跟进。别通过可疑邮件里的按钮跳转，直接打开账号设置更稳妥。
- 核对已登录设备。查看设备名称和活动情况，对无法确认的设备按官方流程退出或移除。设备名称陌生不一定足以判断恶意，但与你的实际使用记录不符时，值得进一步调查。
- 检查第三方应用权限。逐个查看应用名称和已获权限。移除不认识或不再需要的授权；Google 提醒，撤销权限可能让该应用部分功能停止，但这一步针对的是应用访问，不代表设备检查已经完成。(Google 官方第三方应用访问权限说明)
- 保护密码和恢复途径。如有账号异常，使用可信设备更改密码，并检查恢复邮箱、恢复电话和两步验证设置；若其他网站复用了同一密码，也要按各平台官方流程更换。
- 处理可疑设备。检查系统和浏览器安全状态，移除你不认识的扩展或软件，并按可信安全工具的指引扫描。若证据指向设备问题，先完成设备处置，再继续使用它登录邮箱；不要把“账号密码已改”当成设备已干净的证明。
检查 Gmail 转发与过滤设置
进入 Gmail 设置，查看“转发和 POP/IMAP”，核对是否存在陌生转发地址；再查看“过滤器和屏蔽的地址”，留意自动转发、归档、删除或跳过收件箱等规则。也应检查恢复邮箱、恢复电话，以及你未主动设置的委派访问或其他收件安排。Google 将自动转发与过滤器列为发现可疑账号活动时应核查的项目。
若发现未授权的转发，关闭后保存更改；对陌生过滤器，确认它的条件和动作，再删除不认识的规则。Google 的帮助页面说明，Gmail 可以通过转发设置或筛选特定邮件的过滤器转送邮件，因此只看总开关，可能遗漏针对特定发件人或内容的规则。检查这些设置是账号核查，不是证明 Remus 使用了某种特定技术的测试。(Google 官方 Gmail 转发说明)
处理依赖 Gmail 的账户，再决定未来如何隔离邮箱
Gmail 可能是其他账户的登录名、验证码收件地址或密码找回入口。若怀疑邮箱内容已暴露，列出近期可能受影响的关键账户，优先查看各平台安全活动、登录设备和恢复设置；密码或访问凭据是否需要更换，应按该平台的官方流程判断。涉及银行、支付、政务、医疗资料或重要账户恢复时，保留你能长期控制的邮箱，并确认恢复方式可用。
按条件选择下一步：
- 若你只有新闻阅读记录，没有陌生活动：先查看安全事件和设备，不要把传闻当成感染结论。
- 若你发现陌生设备、授权或安全设置：从可信设备按官方流程保护账号，同时检查设备与 Gmail 转发、过滤规则。
- 若你怀疑设备感染，或异常在改密后仍出现：优先处理设备与仍存在的访问路径，必要时使用 Google 账号恢复；不要只重复改密。
- 若账号已恢复、你只是在未来注册低信任网站时不想公开主邮箱：可以考虑使用临时邮箱隔离新注册，但它不清理恶意软件，也不会撤销既有账号访问。
- 若新账户需要长期收信、回信、付款凭证或账户找回：使用长期可控的邮箱，不要依赖可能到期的一次性地址。
邮箱隔离的作用在于减少未来把主邮箱交给低信任网站的次数，不是补救 Gmail 安全事件的工具。AddyTemp 首页说明其临时地址可免注册创建、用于浏览器收信，并在到期后自动失效；这能把一次性注册邮件与主收件箱分开，但不能保护 Gmail 邮箱里的既有内容。你可以先阅读隐私与数据边界说明，再看下载或短期注册时如何选择地址，判断任务是否适合临时地址。
常见问题
（以下问答见文首独立 FAQ 区块。）
完成账号、设备与收件规则核查后，如果只是要在低信任网站临时注册、试用或收一次验证码，使用 AddyTemp 的免注册临时邮箱，可以避免在这类场景交出主邮箱，并把一次性邮件留在独立收件箱。它不是 Gmail 安全补救措施；银行、支付、政务和需要长期找回的账户，仍应使用你长期控制的邮箱。
常见问题
Remus Stealer 在更改 Gmail 密码后还能继续读新邮件吗？
截至 2026 年 11 月 13 日，Hudson Rock 展示了相关宣传材料与邮箱界面截图，也记录了开发者及一名自称使用者的说法；但这些材料没有证明账号完成全面恢复后仍能读取新邮件。截图能说明画面展示了什么，不能单独证明访问发生的时间、来源或持续性。
看到 Remus Stealer 报道后，普通 Gmail 用户应先采取哪些行动？
如果没有陌生安全事件、设备或设置变化，不必因为看过报道就重建所有邮箱账号。你可以从可信设备查看 Google 账号近期安全事件和已登录设备；发现异常时，再按官方流程处置访问权限，并检查设备是否可信。普通验证码或使用 Gmail 本身都不是设备感染证据。
如何查看 Google 账号是否有陌生设备或第三方应用访问？
登录 Google 账号后打开“安全性”区域，先查看近期安全事件，再进入“你的设备”核对设备列表；随后检查第三方应用及服务的访问权限。对你不认识或不再使用的授权，查看具体权限后撤销。撤销应用授权不等于删除该应用已保存的数据，也不能代替检查受影响的设备。
Gmail 出现不认识的转发规则或过滤器时该怎么处理？
进入 Gmail 设置，分别检查“转发和 POP/IMAP”以及“过滤器和屏蔽的地址”，核对转发收件地址、自动归档或删除等动作是否由你设置。若发现陌生规则，先从可信设备保护账号，再关闭转发、删除相关过滤器并保存更改；无法登录时，改走 Google 官方账号恢复流程。