（来源：可遥笔记）
弹窗跳出来的时候，这通电话已经打了十八分钟。
屏幕正中一行大字，Is it you trying to recover your account? 是你在尝试恢复账户吗？下面两个按钮，左边一个红叉，右边一个绿勾，Yes, it's me。
电话那头的男人声音很稳，像在教一位老人用手机，“您点‘是’，然后会出来三个数字让您选。这次提示上的数字是 5。”
我盯着那个绿勾，没有动。
一、一个加州打来的电话
10 月 16 日，周五，下午一点四十分。手机上来了一个陌生号码，加州湾区的区号，Google 总部就在那一带。
电话一接通，我就打开了 Plaud 录音。也说不上为什么，大概是一种本能。
对方是个美国男声，口音标准，语速不快不慢，自称 Nathan，“Gmail 客户协助团队”，还特意说明这通电话在录音。他说有人在在线客服提交了请求，要给我的 Gmail 账户加一个新的恢复手机号，他打来跟我确认。
他在录，我也在录。
我的第一反应是，骗子。用了这么多年 Google，我从没和它的人工客服说上过一句话。平时想找它都找不到，它会主动打电话来找我？
我直接跟他说，我不确定你是不是骗子。
他一点也不慌。“我理解，先生。”他说通话一开始，系统就给我发了一封员工验证邮件，里面有他的名字和案件号，我可以拿来核对。
我翻了收件箱，没有。
“可能是我们服务器的问题，我帮您重发。”
还是没有。
“我再试第三次。”
二、他早就准备好了
我有点不耐烦了，问他到底想要什么。他说想确认那个新号码是不是我的。我说不是，我拒绝。
我以为事情到这儿就结束了。没想到这只是开场。
他说，那我得告诉您，有人开了一个在线客服请求，说手机丢了、登不进邮箱，要把您的恢复手机换成一个迈阿密的号码。他停了一下，翻了翻什么，又说，还有一个请求，要把您的恢复邮箱换成一个俄罗斯的邮箱。
“您对这些有印象吗？”
没有。
我又质疑了一次。他一遍遍让我去垃圾邮件文件夹里找那封验证邮件，我说，如果你真是 Google，你的邮件不应该进垃圾箱。我又说，如果是 Google，应该走正式的书面渠道联系我。
他居然认了。“您说得对，我们通常不会主动联系用户。”然后不紧不慢补上一句，这次是因为那个“手机丢了”的请求，系统才排了一通电话，打到账户上原来登记的号码。
先认下我的常识，再给常识开一个例外。滴水不漏。
然后又是一刀。对方在客服门户上传了一份政府签发的证件，还准确报出了我这个账户是哪天注册的，所以通过了验证，两项修改正在等待批准。
“您以前丢过钱包吗？或者在网上什么地方上传过证件？”
我问他那份证件是真是假。他说他看不到，这是为了保护客户，案子正在调查，不归他的部门管。
一个看不见的人，拿着我的证件，正在一步一步接管我的邮箱。这个画面一旦在脑子里立起来，人就很难冷静。
办法他也准备好了。撤销那两项修改，再给账户加一个“48 小时安全锁”，这期间只有我现在登录着的设备能用，新设备一律进不来。
三、我动摇了
通话到第十二分钟，我在 Gmail 里看到了邮件。
一共三封，1:42、1:43、1:46，正好对应他说的“重发了几次”。发件地址是货真价实的 google.com，标题写着 Ticket Created: Case ID (G-54235) Nathan Spencer。原来早就到了，被 Gmail 归进了“更新”标签页，我一开始没往那儿看。
三封邮件之一。发件地址是真的 google.com。
“对，就是这封员工验证邮件，里面有您的案件号和我的名字。”他说，“请不要把案件号告诉任何人，那是您私人的信息。”
紧接着，他报出了我账户上登记的一个手机号码，问我是不是要保留这个。
号码是对的。
这一刻，我动摇了。前面所有的怀疑，好像都被这封邮件和这个号码一笔勾销。也许真有人在打我账户的主意，也许这真是 Google 少见的一次主动出手。
可心里还有一个小小的声音。我想看看，如果他真是骗子，铺垫了这么久，到底要我做什么。他没要密码，没要验证码，没让我点链接，也没提钱。底牌一直没亮出来。
四、数字是 5
快到两点，他说要给我发一个“确认提示”，用来撤销修改、启用安全锁。
几秒钟后，弹窗跳了出来。
设备 Windows，位置香港附近，时间刚刚。
我先看到的是那行大字，是你在尝试恢复账户吗？然后往下看，设备 Windows，位置香港附近，时间刚刚。
后背一下子凉了。
我没在恢复账户，我的账户好好的。我当时手上只有 iPad 和 iPhone。这个弹窗的意思再清楚不过，此刻有一台 Windows 电脑正在申请接管你的账户，问你是不是本人。
那台 Windows 电脑，就在电话那头。
前面十几分钟，迈阿密的号码、俄罗斯的邮箱、来路不明的证件、48 小时安全锁，全是为了这一刻。他要的只有一样，让我亲手点下那个绿勾，再选中数字 5。
我说，抱歉，我没听懂，我并没有在恢复账户。
“这个流程就叫账户恢复。”他说，撤销修改、启用安全锁，在这个场景下就叫账户恢复，所以系统才会这样问您。
我说我还是不明白，我没在恢复账户，这里应该点“否”。
“这个流程就叫账户恢复。”
我问他，如果我点了“是”，会发生什么？
他说那就能确认是账户主人本人在操作，撤销修改，启用安全锁，就这两件事。
我说我还是觉得不舒服。
他换了个说法。这是您的账户，您自己决定，但对方已经通过了证件验证，修改正在等待批准，“这是唯一能撤销这些修改的办法”。
“这个流程就叫账户恢复。”
前前后后，这句话他说了六遍。
一个真客服，用不着花这么大力气去说服用户无视系统自己的安全警告。他越是反复解释，那几行字就越刺眼。
最后他说，“我理解您不愿意完成这个提示。”
我说，我的账户是正常的，我没有在恢复它，所以我不会点“是”。
我没有点。
五、后怕
电话挂断以后，我才开始真正后怕。
如果我点了呢？那个邮箱我用了很多年。邮箱一丢，别的门就一扇一扇跟着开了。
我一直以为开了两步验证就安全了。可这一次，替骗子完成验证的，会是我自己。Google 的系统没有错，它老老实实问了我一句是不是本人，回答“是”的，会是我自己。
我更后怕的是另一件事。那天下午我有时间，也有一点好奇心，愿意陪他聊下去，看他到底要什么。换一个时候呢？赶飞机，开着会，或者只是累了，想赶紧把这件事了掉。他说点“是”就能撤销修改、锁住账户，听上去那么合理，点一下也就一秒钟。
二十多分钟，他没有提高过一次音量。我两次直说怀疑他是骗子，他都回一句“我理解您的顾虑”，然后接着往下走。不急，不恼，也不放手。
六、一封真的 Google 邮件
事后我最想弄明白的，还是那封邮件。发件地址确实是 google.com，不是什么形近的假域名。他是怎么做到的？
查下来，答案有点讽刺。这封信确实是 Google 发的，只不过是骗子“请” Google 发的。
再看正文，只有一句话，为了更高效地处理您的问题，我们只通过 Firebase 支持页面接受新的请求，请到那里提交。Firebase 是 Google 给开发者用的一个平台，这是它的客服系统收到请求后自动回的一封信。比较合理的推断是，骗子用我的邮箱地址当联系人，往 Firebase 的支持渠道递了一个请求，标题自己写成“Case ID (G-54235) Nathan Spencer”。Google 的系统照章办事，在前面加上 Ticket Created，从官方邮箱寄给了我。他在电话里说的“重发”，其实就是再递一次，所以我前后收到了三封。
地址是真的，系统是真的，信也是真的。唯一假的，是标题里那串案件号和那个名字，那是他自己敲进去的。
可那一刻，电话里有个人正告诉我，一个俄罗斯邮箱就要接管我的账户了。谁还会静下心去读一封自动回复的正文？
这在海外已经是一种很典型的手法，核心都是让 Google 自己的自动系统替骗子说话。2025 年 4 月，以太坊域名服务 ENS 的首席开发者 Nick Johnson 收到一封 Google 官方地址发来的“传票通知”，各项邮件安全校验全部通过，事后才发现，攻击者把整段钓鱼文案写进了一个应用的名字里，Google 发安全提醒时原样带了出去。今年 9 月，瑞士联邦网络安全局一周内收到好几起报告，骗子自己注册一个 Google 账户，把受害人的邮箱填成恢复邮箱，再生成一个“应用专用密码”，名字就叫“Kevin W. Case ID: 834333”，Google 的安全通知把这串字原封不动地寄给了受害人。苹果用户那边，也出现过骗子拿真实的苹果客服工单来取信的案子。
Google 在帮助中心专门写了一页，讲的正是我遇到的这种电话。有几句话说得很直白。Google 永远不会打电话跟你讨论账户安全，也不会让你在电话里批准设备上的提示。Google 从不发邮件来验证来电者的身份，任何声称能证明来电者身份的消息，哪怕来自真正的 Google 域名，都是假的。骗子甚至会用你的账户开一个真的 Google 支持工单，给自己的故事作证。
这也是这类骗局最容易让人误判的地方。这么多年我们被教的是看发件地址，看域名，看有没有拼错一个字母。这一次，这些检查全都能通过。
所以写下来，提醒几句。Google 不会主动打电话来处理账户安全，接到这样的电话直接挂。发件地址是 google.com，不等于发件人是 Google 的人，更证明不了电话那头是谁。任何“是你在登录”“是你在恢复账户”的提示，只要不是你本人此刻在操作，一律点“否”，不管电话那头怎么说。
那天的录音还在 Plaud 里，二十三分钟，一句不少。
现在再听，最让我发冷的，是他平静地说出那句话的语气。
“这次提示上的数字是 5。”
