在 GitHub 下載軟體中了木馬、帳號全被盜：先別自責，這份處理清單照著走

2026 年 10 月 6 日，V2EX 上一位網友發文分享了自己的慘痛經歷：他趕著幫路由器裝插件需要 Xshell（一款連線管理工具），在搜尋結果裡沒細看，點進了一個名為「xshell-setup-free」的 GitHub 專案。解壓時發現檔案有密碼，Windows 也跳出危險軟體警告，但他當時著急，還是硬著頭皮安裝了。隔天，Instagram、電子郵件等帳號全部被盜，駭客還用他的名義向所有朋友發送釣魚連結，信箱瞬間湧進一百多封垃圾郵件。

這篇貼文引來不少討論。有人指出該專案只有兩顆星，本來就該警覺；有人提醒 Xshell 官方本來就提供個人免費版，走官網下載就好；也有人給出最直接的建議：中毒後全盤格式化、重灌系統。原 po 目前已用防毒軟體全盤掃描，但仍不確定病毒是否清乾淨。

這不是什麼罕見案例。同一串討論裡，另一位網友也貼出自己前陣子幾乎一模一樣的經歷，同樣是「一時著急就下載了」。趕時間的時候，平常的警覺確實最容易失靈。

中毒了，第一步做什麼

先說重要的：這種時候自責沒有幫助，行動才有。帳號被盜牽涉的是可操作的步驟，一件一件來。

先把斷點做好。 如果懷疑電腦還帶著木馬（木馬指偽裝成正常程式、暗中竊取資料的惡意軟體），先別在這臺機器上改密碼，因為你輸入的新密碼可能又被側錄。用手機或其他乾淨的裝置，優先改電子郵件密碼，因為信箱是其他帳號找回密碼的鑰匙，信箱守住，其他帳號才有救。

逐一開啟兩步驟驗證。 各主要平臺都有這個功能，開了之後就算密碼外洩，對方也登不進去。被盜帳號如果還登得進去，先檢查登入裝置清單，把不認識的襉階段工作階段全部登出。

通知親友。 駭客用你的名義發釣魚連結，朋友信任你，最容易上當。發個動態或訊息說明帳號曾被盜，請大家忽略來自你的可疑連結，這一步能阻止傷害擴大。

電腦本身怎麼處理

這也是原 po 在討論串裡反覆問的：到底要不要重灌？討論串裡有網友的態度很明確：這類木馬感染後建議全盤格式化重灌，否則永遠可能有殘留。這種說法有其道理，因為進階的木馬可能植入掃毒軟體掃不到的位置。原 po 已向 GitHub 官方檢舉該專案多次，尚未收到回覆。

保守做法可以分兩層看：如果被竊的帳號涉及金流、工作或重要個資，重灌是最乾淨的選項；如果損失有限、掃毒後也沒再出現異常，至少持續觀察帳號活動紀錄幾週。自己拿不定主意時，找信任的、熟悉資訊安全的朋友或店家看一下，比上網問陌生人可靠。

重灌後記得先裝好系統更新和防毒軟體，再考慮還原個人檔案，而且只還原文件照片，別把來路不明的執行檔一起搬回來。

下次趕時間時，這幾個習慣能救你

整起事件的轉折點，其實是一連串小小的「沒想那麼多」。以下是討論串和常見資安建議歸結出的防呆習慣。

軟體從官網下載。 Xshell 官方就提供個人免費版，填個信箱就能取得載點。原 po 後來也解釋，是因為覺得官網流程麻煩才另尋捷徑。多花兩分鐘走正門，往往省掉兩週的善後。

看一眼星星數和更新時間。 兩顆星的專案、很久沒更新、README 寫得含糊，這些都是明顯訊號。搜尋引擎排名高，只代表 SEO 做得好，不代表安全。這和看健康資訊一樣，來源比排序重要，我們在聊健康資訊識讀時也常提這個原則。

壓縮檔帶密碼、防毒跳警告，兩個都停。 要求輸入密碼才能解壓的來路不明檔案，常是為了躲過掃毒掃描；系統警告危險軟體，就是該停手的時刻。原 po 當時「硬著頭皮裝」，事後回想，警告其實都給過了。

重要的帳號平時就開兩步驟驗證。 事後補救很累，事前設定只要五分鐘。

帳號被盜之後，情緒也要照顧

原 po 在文末寫著「只能為這種壞人 pray」，短短幾行其實看得出又氣又慌。帳號被盜的那種失控感是真的：私密對話、人際信任、日常工具一夕之間全被侵入，還要面對朋友的質疑。這種衝擊和我們聊過的各種「突然失去掌控」的處境類似，例如實習落空後的那種失落，第一步都是先承認：這件事發生了，錯不在你太笨，而是對方設計得就是讓人在著急時上鉤。

把該做的帳號處理做完後，給自己一點時間消化。如果接下來幾天出現睡不好、反覆自責、不敢再用某些服務的狀況，跟信任的人聊聊會有幫助。若持續影響到生活作息，找心理諮商資源談談也是合理的選擇，不需要等到「很嚴重」才求助。

最後留一個提醒：這類假冒知名軟體的專案不會只有一個，平臺下架的速度也未必跟得上。工具再方便，最後那道防線永遠是你按下下載前的那幾秒。慢一點，看一下來源，很多麻煩就不會發生。