为什么修改了密码也不能阻止盗号者对 Steam 账号的访问？

[Danswerme]

前情提要

• 这个事情是去年 10 月左右发生的
• Steam 账号已开启二步验证
• 在这个事情发生之前一两天，我在网吧登录过一次 Steam 账号，事后来看在这次登录时凭证泄露
• 账号总共损失￥ 4 人民币

具体经过

凌晨一点多，我被手机邮箱突然疯狂推送的一大堆通知震动惊醒；打开邮箱发现是 Steam 发来的邮件，告诉我售卖了账号中游戏中的饰品，每个资产大约几分到几毛钱。

虽然我几乎没碰过那些游戏，甚至连这些东西可以卖钱都不知道，但是我知道号被盗了。

打开手机 Steam ，取消授权了所有设备，然后修改了密码；在这个动作完成后，通知出售饰品的邮件仍然没有停下来，一直刷了将近五分钟才停歇，通过查看交易记录，我账号中的所有饰品被出售后，又购买了一个 ￥ 4.xx 左右的物品。

疑问

为什么取消授权设备、修改密码之后，盗号者仍然可以进行交易？

我的一点猜测：

• 取消授权设备 + 修改密码之后，Steam 没有吊销之前在网吧登录时泄露的凭证
• 邮件推送存在队列和延迟
  • 在我取消授权设备和修改密码之前，盗号者的交易实际已经全部完成，只是通知交易的邮件没有一次性全部推送过来。

---

凌晨那会有点迷糊，再加上损失不大，我也没有仔细追究。否则根据当时的交易时间，我应该可以排查出来在修改密码之前，是否所有的交易都已经完成。