一封知道你密码的邮件
它通常没有称呼。邮件标题就是一个老密码——你认得出来，可能是好几年前某个账号用的。正文大意是：我在你设备上装了木马，通过摄像头录下了你，还拼接了你浏览记录，48 小时内不把比特币打到我给的地址，就把视频发给你全部联系人。有的版本会附上几条你的历史密码装样子，有的声称『这封邮件是从你自己的邮箱发出的』，还有的给一个『查看我掌握的材料』的链接。
这封邮件里有两样东西是真的：你的邮箱是真的，那个密码也真的用过。其余全部是模板。
视频不存在。没有木马，没有录制，也没有一份随时可以群发的联系人名单。你手里这封东西，是同时发给上百万个地址的群发邮件，唯一的『定制内容』就是泄露数据库里属于你的那一行：邮箱加一个旧密码。蒙特利尔大学的研究团队 2019 年研究过这类活动，结论很清楚：最早的比特币勒索邮件出现在 2018 年 7 月，靠 Necurs、Cutwail 这类垃圾邮件僵尸网络批量发出——和推销减肥药的群发通道是同一套基础设施（论文见 arXiv:1908.01051，MIT Technology Review 当年有报道）。
想明白这一点，恐惧就该降一档：没有人盯着你。你只是在一个群发名单上。
密码是从哪来的
标题里的密码是整个骗局的钩子，它的来历解释了一切。网站被拖库、账号密码库被打包、在黑产市场里反复转卖，一套数据能卖很多年。发起一轮勒索邮件时，对方买一份库，把每行的密码和邮箱配好，群发出去——邮件里唯一像『我黑了你』的证据，是你自己多年前在别的网站输入过的东西。
所以这个密码往往很旧，很多人收到的密码对应的账号早就注销了。但骗局赌的就是凌晨两点的人不问『他怎么知道的』，只问『他知道了怎么办』。
想看自己的暴露面，把邮箱拿到 Have I Been Pwned 这类免费泄露查询服务查一次，出来的库名单通常能和这封邮件对得严丝合缝。另外还有一条真实存在的通道：窃密木马确实会偷浏览器保存的密码和登录态，它的产出叫『窃密日志』，同样流入黑产市场——但木马感染拿到的数据是新鲜、成套的，而勒索邮件只需要一个旧密码，这正是买库群发而非实时入侵的特征。窃密木马这条线我们单独写过一篇，感兴趣的可以去看。
中文读者先分清：这是两种不同的骗局
这一节是写给中文读者的关键判断，很多中文内容把两者混为一谈。
第一种是本文主角：群发邮件恐吓。对方手里只有你的邮箱和一个旧密码，没有任何视频。判断依据：你从未和陌生人视频裸聊，邮件里也没有任何只有录屏才可能有的细节。这种直接删、改密码、举报，不用恐慌。
第二种是裸聊敲诈，国内高发，性质完全不同。套路通常是交友或婚恋软件引流到视频裸聊，对方全程录屏——录屏是真的，把柄真实在握。随后敲诈开始，金额从几千开始不断加码：删视频费、删备份费、删『公司群备份』费，付了第一笔就有第二笔。这类案件的正确处置是：立即停止一切转账，哪怕已经转过；完整保存对方账号、聊天记录、转账凭证；直接拨打 110 或去派出所报案，也可以在国家反诈中心 App 上提交线索。公安机关对裸聊敲诈有成熟办案流程，越早报案、证据越全，追责和止付的空间越大。
一句话判断：没裸聊过，邮件就是模板恐吓；裸聊过被录屏，就是真实敲诈。两者的共同点只有一个——都不要付钱。付钱在第一种里让你变成『会回应的人』，在第二种里让你变成『可以持续榨取的人』。
链上的收款地址会说话
大部分受害者不会做这件事，但做了会安心：查那个比特币地址。
把邮件里的地址粘进任意区块链浏览器。群发勒索钱包的形态很好认：持续数周到数月陆续进账，笔数不少、单笔很小，很多低于邮件里要求的金额——因为总有被吓住的人试图讨价还价，而对方的剧本压根是群发模板，不在乎具体某个人。安全厂商 Cisco Talos 拆解过一轮活动，发现收款钱包的实际进账远低于按最低要价估算的规模，而且同一批钱包在不同轮次的活动中被重复使用：一个收款罐，配无数封信。
前面提到的 2019 年学术研究追得更深。研究者把多轮活动的地址做聚类、沿链上路径追踪，得出结论：多数勒索活动的资金出口很可能由同一个幕后实体控制。换句话说，邮件看起来像一千个勒索者，收银台常常是同一家。
先查地址、再决定是否互动，这是一项通用技能，和我们在地址风险评分一篇里讲的方法同源。链上历史不会说谎，一个钱包是为收款恐吓而生还是为正常使用而生，看进出账形态就能分清。
2026 年的升级版：真数据加真骚扰
多年来这个骗局的内核是纯恐吓：一个旧密码加满页的格式化排版。随着数据勒索团伙工业化，情况变了。最明确的公开标志，是 FBI 网络犯罪投诉中心 2026 年 5 月 15 日针对 ShinyHunters 团伙发布的公告（IC3 PSA）。
ShinyHunters 专做大规模数据入侵，一次偷走数百万条客户记录。随后的勒索邮件用 FBI 的原话说是『对敏感或个人信息真实或夸大的访问声明』来施压。比旧模板升级的地方在行为层面：向受害者本人及其家人发威胁短信、打电话，某些情况下还会恶意报警制造特警上门。但核心恐吓仍然是虚的——公告明确写道，行为人可能谎称持有令人难堪的照片或视频，而这些东西『经常并不存在』。
所以 2026 年的判断分两条线：
- 旧模板（旧密码、泛泛的摄像头说辞、比特币地址、倒计时）：群发恐吓。删除、举报、改掉复用密码。
- 具名团伙变体（点名某次真实泄露、有你真实个人信息、骚扰电话打到家人）：数据是真的，骚扰是真的，但所谓的不雅材料按 FBI 的说法仍然经常是编造的。不要付钱，不要顺着对方联系的渠道去核实，保存全部证据并报警。收到即时人身威胁的，直接拨打当地紧急电话，不要谈判。
FBI 公告里的建议值得记住，因为它适用于几乎所有变体：收到紧急或异常要求，先通过另一个渠道核实再回应；不要付款；不要回应勒索要求；警惕后续冒充学校、服务商或执法机关的钓鱼联系。
第二刀：冒牌『解忧公司』
还有续集，FBI 也专门警告过。2023 年 4 月，IC3 发布公告，提醒存在一类营利性公司，主动联系勒索受害者，收费提供所谓『救助服务』（IC3 公告）。
这门生意的逻辑很脏很顺：受害者从没向任何人报过案。几天后一个陌生人来电说『我们能删除你的数据、帮你追查黑客，先付一万九』，受害者自然以为救星来了。实际上这些公司买的是同一批受害者名单，卖的是一场不会发生的犯罪的解药。骨架和虚假追回、假客服完全一致：你没有求助，主动找上门的帮助，本身就是第二轮筛选。我们写过假客服的完整拆解，套路一模一样。
处置清单，按顺序做
一，不付钱。付钱只会把你从名单上的一个邮箱变成『会回应的受害者』，是唯一让你更值钱的动作。
二，不点链接。所谓『查看证据』的链接通向钓鱼或诱导钱包签名的页面。真会让钱包出血的是签名而不是密码，空投安全检查清单和无限授权两篇里讲得很细。
三，改掉暴露的密码和所有复用它的地方。标题里那个密码在全场景作废。换密码管理器，让每个站点独立；优先给邮箱开 App 两步验证——邮箱是能重置其他一切的万能钥匙。
四，保存邮件并举报。保留完整邮件原件（含头信息）、比特币地址、来电号码。国内拨打 110 或 96110，或通过国家反诈中心 App 提交；涉外场景（邮件为英文、对方在境外）可同时向 FBI 的 IC3 提交。具体流程和报案材料清单，我们写过一篇一步步的指南。这类举报的价值在聚合：邮箱、地址、号码汇总起来，僵尸网络和收款钱包才会被逐个钉住。
五，跟一个人说出来。这类邮件的全部设计就是利用羞耻感，而羞耻感靠沉默存活。FBI 公告专门列了心理健康资源，这个提醒是对的：威胁是假的，恐惧是真的，说出来两者都会变小。如果你遇到的是真实骚扰甚至人身威胁，那就是另一回事——取证、报警、让警察介入。
最后一段话
密码是真的，视频是假的，邮件末尾的比特币地址是 2018 年以来反复回收使用的群发收款罐。2026 年的具名团伙变体加入了真实数据和真实骚扰——这提高的是报警的优先级，不是付钱的理由。不付款、不点击、改密码、留证据、去报案，然后找一个信任的人说一句。恐惧是他们卖的产品，这篇只是退货说明。
常见问题
邮件里显示的密码我确实用过，是不是说明对方真的黑进了我的电脑？
不是。只能说明你的邮箱和这个密码曾一起出现在某个网站的泄露数据库里，而且往往是很多年前的旧库。这类数据在黑产圈被反复转卖，所以密码通常很旧、你早就不用了。知道密码不需要碰你的设备。想确认自己的暴露面，可以把邮箱拿到 Have I Been Pwned 这类免费查询服务查一下，列出的泄露库名单通常能精确对上这封勒索邮件的来源。
要不要付钱消灾？
不要。FBI 在 2026 年 5 月关于 ShinyHunters 勒索的公告中明确建议：不要付款、不要回应要求。学术研究也早已说明这些邮件是僵尸网络批量群发的——付了钱，你只会从『名单上的一个邮箱』变成『会回应的受害者』，反而更值钱。
国内常说的裸聊敲诈和这种邮件是一回事吗？
不是，这是两种完全不同的骗局。群发邮件勒索是纯恐吓：对方没有你任何视频，只赌你被吓住。裸聊敲诈是真实威胁：对方诱导你视频裸聊并真的录了屏，随后用录屏敲诈，金额会不断加码。判断标准很简单——如果你从未和陌生人视频裸聊，收到『我偷拍了你』的邮件就是群发模板；如果确实裸聊过并被录屏，那是真实在手的把柄，立即停止一切转账、保存聊天记录和转账凭证、直接报警。
邮件里的比特币地址能查出什么？
把地址粘进任意区块链浏览器就能看。群发勒索的收款钱包特征很明显：持续数周到数月进账，笔数多、单笔小，不少低于邮件里要求的金额——因为总有人试着讨价还价，而对方剧本根本不在乎具体是谁。研究者还发现同一批钱包会在多轮勒索活动中重复使用。先查地址再决定是否互动，和我们讲过的地址风险评分是同一套方法。
后来有公司主动联系我说能帮我『删除数据』或『追回损失』，靠谱吗？
当作第二场骗局处理。FBI 下属的网络犯罪投诉中心在 2023 年 4 月专门发过公告，警告有营利性公司向勒索受害者收费提供所谓『救助服务』。你自己没向任何人求助，却有人精准找上门——说明对方手里拿的是受害者名单。这和虚假客服、虚假追回公司的套路完全一致：主动找上门的『帮助』，本身就是筛选受害者的手段。