这类邮件几乎每周都有人收到：声称掌握了你的某些行为、掌握了某个网站的浏览记录，并且随手附上一个你真实用过的旧密码。最后那一行才是它真正让人发冷的地方。但它能拿出旧密码，恰恰就是它没有你设备的证明。
逐句拆：每句话的数据从哪里来
| 它说什么 | 数据从哪里来 | 能证明什么 |
|---|---|---|
| 我知道你的密码是 XXXX | 往年某个网站被拖的库，在灰色渠道里公开流通 | 只能证明那个站的数据早就在外而流通，不能证明你的电脑被控制 |
| 我访问过你的摄像头 | 没有来源，模板句子 | 什么都证明不了，它不会给你截图 |
| 我有你的浏览记录 | 无法验证的通用描述 | 不会给出任何具体条目 |
| 48 小时内付款 | 心理施压，期限过了还会继续收 | 同一套模板在往全球群发 |
| 一个比特币地址 | 收款用 | 这个地址在成千上万个样本里被重复使用 |
重点看第一行。拖库数据在灰色渠道里能按邮箱查，任何人花很少的钱就能拿到某个邮箱历史上用过的密码。它拿这个东西当把戏，反而告诉你：信息是买的，不是偷的。
三条快速验证，十分钟做完
| 查什么 | 在哪里查 | 结果怎么读 |
|---|---|---|
| 邮箱真的被登录过吗 | 邮箱自带的登录记录 / 最近活动 | 绝大多数情况下只有你自己的设备和地区 |
| 它从哪发出来的 | 看邮件头四个关键字段 | 群发特征明显：陌生域、验证结果常为 fail |
| 本机有没有异常 | 任务管理器、启动项、计划任务 | 没有可疑项就可以排除设备失守 |
| 那个密码现在还能用吗 | 用它试登一次对应网站 | 多半已经改过了；能用则说明泄露确实旧 |
四项里只要前三项干净，就可以确定没有设备被控制。不需要装任何新工具，更不需要去找“取证软件”。
为什么不要付：三个实际理由
一是没有交付物：它本来就没有素材可以给你，付款不会换来删除。二是你会被贴上会付款的标签，同一批人会在接下来几个月里以更高的额度再发一次，第二次的金额通常比第一次高。三是付完款之后你的邮箱会成为高频目标，因为一个活跃的、会被胁迫的邮箱本身就有交易价值。
这三条都不是道德判断，而是这类骗局的运作方式决定的。
收到之后按这个顺序做
不回、不点图（很多邮件里的图片用来确认地址活跃）。把那个旧密码对应站点改密，并搜一下同一个密码还在哪些站用过，那才是真正会吃亏的地方。检查邮箱的转发规则、自定义收信规则和第三方应用授权有没有被动过，开上两步验证。然后把邮件标为垃圾并拉黑发件域，保留一份文本截图以防后续变本加厉需要证据。最后用现有的安全软件做一次全盘扫描，不要为了这件事去装什么专杀工具。
它是怎么同时拿到邮箱和密码的
常见的链路有三条：某个小站被拖库后，邮箱和密码一起流通；在论坛、买数据群里花小钱买按邮箱打包的历史记录；早年某些软件把明文密码存在本地并被一并上传。所以“密码是对的”这件事，说明的是密码复用，不是邮箱失守。
一个有用的习惯：每半年用那个旧密码做一次检查，看它还在哪些站上用过。多数人的真实风险不是这封邮件，而是同一个密码同时用在五个小站上，只要其中任意一个站被拖，其余四个等于一起裸奔。
什么情况下才需要当真
| 情形 | 当真程度 | 动作 |
|---|---|---|
| 邮件里能说出具体人名、具体网址、具体日期 | 高 | 说明确实有真实信息源，按账号已泄露升级处理 |
| 附了真实截图或真实文件名 | 高 | 当设备失守处理，走持久化排查 |
| 从社交私信送达而且提到生活细节 | 高 | 保留证据，考虑报案 |
| 只有通用模板加一个旧密码 | 低 | 改掉重复用的密码就行 |
最后一句
区分真入侵和群发诈骗只看一件事：它能不能说出只有掌握你设备的人才知道的具体细节。模板加旧密码可以买到，具体细节买不到。看明白这一点，这封邮件基本可以直接删。