域名被盗后
，先不要急着重新注册或反复尝试登录
。正确顺序是：先；ぷ⒉嵊氏浜拖喙卣撕
，停止域名继续被修改；再收集原始资料
，向当前域名注册商申请冻结未授权操作、恢复控制权或撤销异常转移；最后检查 DNS、网站和邮箱是否恢复
。只要域名还在原注册商账户内
，通？梢灾苯油ü踩柚煤凸さゴ；如果已经转移到其他注册商
，就需要同时向原注册商和当前注册商提交申诉
。

域名被盗后
，第一步应该先做什么？

先处理与域名绑定的注册邮箱
，而不是先修改网站页面
。攻击者如果仍能进入邮箱
，就可能继续重置域名账户密码、确认转移通知或改回联系人信息
。

1. ；ぷ⒉嵊氏洌立即修改邮箱密码
   ，启用双重验证
   ，退出其他设备和浏览器会话
   ，检查备用邮箱、恢复手机号、自动转发规则、应用专用密码和第三方授权
   。发现异常转发或陌生授权时
   ，立即删除并重新设置
   。
2. ；び蛎⒉嵘陶嘶В在确认邮箱安全后修改注册商密码
   ，启用双重验证
   ，撤销陌生登录设备和 API 密钥
   ，检查账户中的联系人邮箱、手机号、支付方式和安全问题
   。
3. ；す亓务：如果 DNS 托管、云服务器、CDN、网站后台和邮箱服务使用独立账户
   ，也要分别修改密码并启用双重验证
   。只找回域名而不处理这些账户
   ，攻击者仍可能通过 DNS 或主机权限重新控制网站
   。
4. 保留现状和通知：保存异常登录提醒、域名信息变更邮件、转移确认邮件、付款记录和页面截图
   ，不要删除原邮件
   ，也不要先注销旧账户或清空操作记录
   。

如果邮箱已被攻击者控制
，先通过邮箱服务商的官方找回流程恢复邮箱；如果域名注册商仍能登录
，则立即查看域名状态、联系人和 DNS 记录
。发现域名还在账户中时
，可先开启转移锁
，并撤销异常的邮箱、联系人或 DNS 修改
。这样做的结果是先切断攻击者继续操作的通道
，再进入正式找回流程
。

完成止损后
，怎样向注册商申请找回域名？

域名被盗后的核心处理对象是当前注册商
。不要只在社交平台留言
，也不要把身份证件或账户密码交给所谓的“快速找回”中介
，应通过注册商官网、控制台或官方客服渠道提交工单
。

先判断域名处于哪一种状态

• 域名仍在原账户：重点检查是否被改了注册人邮箱、管理员联系人、DNS 服务器或转移锁
  ？稍谡嘶诨指凑纷柿
  ，并要求客服记录未授权变更
  。
• 账户无法登录：提交账户被接管或域名控制权被盗的申诉
  ，说明原账户信息、注册时间、历史订单和域名使用情况
  ，请求恢复账户
  。
• 域名已经转移：从转移通知中确认当前注册商
  ，同时联系原注册商和当前注册商
  ，明确提出“未经授权的域名转移”
  ，请求调查转移记录、冻结后续变更
  ，并申请撤销转移或恢复原注册信息
  。
• 网站还能打开但内容异常：优先检查 DNS 和主机
  ，不要因为域名暂时可访问就认定已经安全
  。攻击者可能只改了解析记录
  ，尚未改变注册商控制权
  。

工单中应提交哪些信息？

准备一份按时间排列的事件说明
，比只写“域名被盗
，请处理”更容易让客服定位问题
。内容可以包括：

• 域名、原注册商、原账户邮箱和发现异常的时间；
• 最后一次能够正常登录或管理域名的时间；
• 异常登录提醒、联系人变更邮件、转移邮件和付款通知的截图；
• 历史注册订单、续费发票、付款凭证、原联系人信息
  ，以及企业域名对应的主体资料；
• 域名原本使用的 DNS 服务器、网站主机、邮箱服务和重要业务影响；
• 明确的处理请求
  ，例如冻结未授权变更、恢复账户、恢复注册人信息、撤销异常转移、重新设置转移锁
  。

提交资料时
，应按照官方工单要求提供证明
，不要把完整密码、验证码或私钥写进工单
。身份证、营业执照等材料只发送到注册商的官方验证页面
，并根据要求遮盖无关信息
。资料提交后
，保留工单编号和每次回复
，后续补充材料时使用同一案件
，避免重复开多个互相矛盾的工单
。

如果注册商要求确认原邮箱
，但原邮箱已经失控
，应在工单中说明邮箱被一并接管
，并提供历史订单、付款凭证、企业主体资料等替代证明
？头完成审核后
，通；嵬ü碌陌踩捣绞酵ㄖ斫峁
。能否撤销转移取决于域名注册商、当前注册状态和证据情况
，因此应使用“申请调查和恢复”
，不要承诺一定可以立即找回
。

域名找回后
，怎样确认网站和邮箱已经恢复？

注册商恢复账户或域名
，只代表控制权处理完成
，不代表网站、邮件和 DNS 已经正常
。应按照“注册商控制权—DNS—网站—邮箱—安全设置”的顺序复核
，防止域名刚找回又被旧后门控制
。

1. 确认注册信息：登录注册商账户
   ，检查注册人、管理邮箱、联系电话、付款信息和账户安全设置是否都是自己的
   。查看是否仍有陌生成员、API 密钥、授权设备或转移请求
   。
2. 锁定域名：开启注册商提供的域名转移锁、账户双重验证和变更通知
   。若域名支持更严格的变更；
   ，可向客服询问是否能增加人工审核
   。
3. 恢复 DNS：将名称服务器和解析记录改回确认过的配置
   ，重点检查网站主机记录、邮箱 MX 记录、验证记录、子域名、跳转记录和 TXT 记录
   。不要直接照抄网络上找到的公共解析值
   ，应以自己的主机、邮箱和 DNS 服务商配置为准
   。
4. 检查 DNSSEC：如果域名此前启用了 DNSSEC
   ，核对注册商中的 DS 记录与 DNS 服务商的密钥是否匹配
   。记录不匹配时
   ，网站可能无法解析；不确定时应先让注册商或 DNS 服务商确认
   ，不要随意删除密钥
   。
5. 清理网站和主机：修改服务器、控制面板、网站后台、数据库和部署平台的密码
   ，注销旧会话
   ，轮换 API 密钥
   ，检查陌生管理员、计划任务、上传文件和异常跳转
   。使用可靠备份恢复前
   ，先确认备份没有被篡改
   。
6. 恢复 HTTPS 和邮件：确认 SSL 证书覆盖正确域名
   ，检查邮箱收发、MX、SPF、DKIM 和 DMARC 配置
   。若攻击者改过邮件解析
   ，应检查近期是否出现自动转发、陌生签名或异常登录
   。

验证时
，可以从不同网络或设备访问网站
，检查首页、后台登录、主要子域名和 HTTPS 证书；发送一封测试邮件并从外部邮箱回复
，确认邮件没有退回或进入异常转发
。域名信息已恢复、名称服务器正确、网站能正常打开、邮箱能双向收发
，且账户中没有陌生设备和密钥
，才可以认为主要服务已经恢复
。

注册商迟迟不处理时
，下一步怎么推进？

如果工单长时间没有明确进展
，先在原工单中补充时间线和证据
，要求转交账户安全或域名争议团队
，并保留完整沟通记录
。通用顶级域名可继续按照注册商的正式投诉和争议处理渠道升级；国家或地区域名则应查看对应注册管理机构规定的投诉、仲裁或争议解决方式
。

如果域名被用于冒充企业、诈骗客户、盗取邮件
，或已经造成付款损失
，应同步保存登录记录、邮件原文、转账凭证和网站页面
，并向相关平台、支付机构或执法机关报告
。不要与攻击者反复争辩
，不要支付无法验证身份的“赎回费用”
，也不要为了抢回域名而点击陌生人发送的登录链接
。先；び氏浜驼嘶
，再通过官方渠道完成域名恢复
，能够减少二次接管和证据丢失
。