域名被盗后，先不要急着重新注册或反复尝试登录。正确顺序是：先保护注册邮箱和相关账号，停止域名继续被修改；再收集原始资料，向当前域名注册商申请冻结未授权操作、恢复控制权或撤销异常转移；最后检查 DNS、网站和邮箱是否恢复。只要域名还在原注册商账户内，通常可以直接通过安全设置和工单处理；如果已经转移到其他注册商，就需要同时向原注册商和当前注册商提交申诉。

域名被盗后，第一步应该先做什么？

先处理与域名绑定的注册邮箱，而不是先修改网站页面。攻击者如果仍能进入邮箱，就可能继续重置域名账户密码、确认转移通知或改回联系人信息。

1. 保护注册邮箱：立即修改邮箱密码，启用双重验证，退出其他设备和浏览器会话，检查备用邮箱、恢复手机号、自动转发规则、应用专用密码和第三方授权。发现异常转发或陌生授权时，立即删除并重新设置。
2. 保护域名注册商账户：在确认邮箱安全后修改注册商密码，启用双重验证，撤销陌生登录设备和 API 密钥，检查账户中的联系人邮箱、手机号、支付方式和安全问题。
3. 保护关联服务：如果 DNS 托管、云服务器、CDN、网站后台和邮箱服务使用独立账户，也要分别修改密码并启用双重验证。只找回域名而不处理这些账户，攻击者仍可能通过 DNS 或主机权限重新控制网站。
4. 保留现状和通知：保存异常登录提醒、域名信息变更邮件、转移确认邮件、付款记录和页面截图，不要删除原邮件，也不要先注销旧账户或清空操作记录。

如果邮箱已被攻击者控制，先通过邮箱服务商的官方找回流程恢复邮箱；如果域名注册商仍能登录，则立即查看域名状态、联系人和 DNS 记录。发现域名还在账户中时，可先开启转移锁，并撤销异常的邮箱、联系人或 DNS 修改。这样做的结果是先切断攻击者继续操作的通道，再进入正式找回流程。

完成止损后，怎样向注册商申请找回域名？

域名被盗后的核心处理对象是当前注册商。不要只在社交平台留言，也不要把身份证件或账户密码交给所谓的“快速找回”中介，应通过注册商官网、控制台或官方客服渠道提交工单。

先判断域名处于哪一种状态

• 域名仍在原账户：重点检查是否被改了注册人邮箱、管理员联系人、DNS 服务器或转移锁。可在账户内恢复正确资料，并要求客服记录未授权变更。
• 账户无法登录：提交账户被接管或域名控制权被盗的申诉，说明原账户信息、注册时间、历史订单和域名使用情况，请求恢复账户。
• 域名已经转移：从转移通知中确认当前注册商，同时联系原注册商和当前注册商，明确提出“未经授权的域名转移”，请求调查转移记录、冻结后续变更，并申请撤销转移或恢复原注册信息。
• 网站还能打开但内容异常：优先检查 DNS 和主机，不要因为域名暂时可访问就认定已经安全。攻击者可能只改了解析记录，尚未改变注册商控制权。

工单中应提交哪些信息？

准备一份按时间排列的事件说明，比只写“域名被盗，请处理”更容易让客服定位问题。内容可以包括：

• 域名、原注册商、原账户邮箱和发现异常的时间；
• 最后一次能够正常登录或管理域名的时间；
• 异常登录提醒、联系人变更邮件、转移邮件和付款通知的截图；
• 历史注册订单、续费发票、付款凭证、原联系人信息，以及企业域名对应的主体资料；
• 域名原本使用的 DNS 服务器、网站主机、邮箱服务和重要业务影响；
• 明确的处理请求，例如冻结未授权变更、恢复账户、恢复注册人信息、撤销异常转移、重新设置转移锁。

提交资料时，应按照官方工单要求提供证明，不要把完整密码、验证码或私钥写进工单。身份证、营业执照等材料只发送到注册商的官方验证页面，并根据要求遮盖无关信息。资料提交后，保留工单编号和每次回复，后续补充材料时使用同一案件，避免重复开多个互相矛盾的工单。

如果注册商要求确认原邮箱，但原邮箱已经失控，应在工单中说明邮箱被一并接管，并提供历史订单、付款凭证、企业主体资料等替代证明。客服完成审核后，通常会通过新的安全联系方式通知处理结果。能否撤销转移取决于域名注册商、当前注册状态和证据情况，因此应使用“申请调查和恢复”，不要承诺一定可以立即找回。

域名找回后，怎样确认网站和邮箱已经恢复？

注册商恢复账户或域名，只代表控制权处理完成，不代表网站、邮件和 DNS 已经正常。应按照“注册商控制权—DNS—网站—邮箱—安全设置”的顺序复核，防止域名刚找回又被旧后门控制。

1. 确认注册信息：登录注册商账户，检查注册人、管理邮箱、联系电话、付款信息和账户安全设置是否都是自己的。查看是否仍有陌生成员、API 密钥、授权设备或转移请求。
2. 锁定域名：开启注册商提供的域名转移锁、账户双重验证和变更通知。若域名支持更严格的变更保护，可向客服询问是否能增加人工审核。
3. 恢复 DNS：将名称服务器和解析记录改回确认过的配置，重点检查网站主机记录、邮箱 MX 记录、验证记录、子域名、跳转记录和 TXT 记录。不要直接照抄网络上找到的公共解析值，应以自己的主机、邮箱和 DNS 服务商配置为准。
4. 检查 DNSSEC：如果域名此前启用了 DNSSEC，核对注册商中的 DS 记录与 DNS 服务商的密钥是否匹配。记录不匹配时，网站可能无法解析；不确定时应先让注册商或 DNS 服务商确认，不要随意删除密钥。
5. 清理网站和主机：修改服务器、控制面板、网站后台、数据库和部署平台的密码，注销旧会话，轮换 API 密钥，检查陌生管理员、计划任务、上传文件和异常跳转。使用可靠备份恢复前，先确认备份没有被篡改。
6. 恢复 HTTPS 和邮件：确认 SSL 证书覆盖正确域名，检查邮箱收发、MX、SPF、DKIM 和 DMARC 配置。若攻击者改过邮件解析，应检查近期是否出现自动转发、陌生签名或异常登录。

验证时，可以从不同网络或设备访问网站，检查首页、后台登录、主要子域名和 HTTPS 证书；发送一封测试邮件并从外部邮箱回复，确认邮件没有退回或进入异常转发。域名信息已恢复、名称服务器正确、网站能正常打开、邮箱能双向收发，且账户中没有陌生设备和密钥，才可以认为主要服务已经恢复。

注册商迟迟不处理时，下一步怎么推进？

如果工单长时间没有明确进展，先在原工单中补充时间线和证据，要求转交账户安全或域名争议团队，并保留完整沟通记录。通用顶级域名可继续按照注册商的正式投诉和争议处理渠道升级；国家或地区域名则应查看对应注册管理机构规定的投诉、仲裁或争议解决方式。

如果域名被用于冒充企业、诈骗客户、盗取邮件，或已经造成付款损失，应同步保存登录记录、邮件原文、转账凭证和网站页面，并向相关平台、支付机构或执法机关报告。不要与攻击者反复争辩，不要支付无法验证身份的“赎回费用”，也不要为了抢回域名而点击陌生人发送的登录链接。先保护邮箱和账户，再通过官方渠道完成域名恢复，能够减少二次接管和证据丢失。