待验证50% 置信事实精确时间
攻击者获取访问权限后可能立即绑定自己的2FA设备将原账号主人锁出，此操作被称为账号接管（Account Takeover，ATO）
1
来源数
50%
置信度
长期有效
时效性
2026/7/10
首次发现
来源
警惕Gemini免费会员骗局：备用码泄露的账号安全风险
bilibiliOpenclaw安装2026/7/5
相关事实
待验证统一账号架构存在安全隐患，主账号凭证泄露可导致账号接管（ATO）并横向移动至所有关联服务72% 相似待验证一旦Token被第三方获取，攻击者即可完全模拟合法用户的操作，这称为「会话劫持」（Session Hijacking）67% 相似待验证攻击者获取refresh_token后即可持续刷新获得新访问权限，即便用户修改密码，已泄露Token在过期前仍可被持续滥用，这称为会话劫持67% 相似待验证凭证填充攻击（Credential Stuffing）指攻击者将一处泄露的用户名密码组合自动化尝试登录其他网站以接管账户65% 相似待验证启用双因素认证（2FA）保护密码库账号本身，优先用TOTP或硬件密钥而非短信验证，短信2FA易被SIM劫持攻破64% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/452985API
curl https://kongchang.com/api/v1/knowledge/claims/452985MCP
get_claim(id=452985)