先看事件，不要只看地圖標記
登入事件旁邊出現陌生城市，確實令人不安。但 Microsoft 的活動頁面是驗證事件的記錄，不是即時位置追蹤器。在重設密碼或移除復原方法之前，請先結合上下文閱讀該條目：發生了甚麼事、何時發生、來自哪部裝置，以及是否有郵件客戶端或背景同步可以解釋。
本指南會逐步說明如何解讀事件類型、時間、裝置及大概位置，亦會解釋為何 IP 地址不能識別真人，也不能證明實際地址。目標是冷靜、基於證據地決定要保護甚麼。
第一步：開啟正確的活動檢視
Microsoft 會在多個位置呈現登入及安全性資訊。具體選單標籤會因帳戶類型和介面版本而異，因此本指南不點名特定選單。請尋找會列出近期登入、異常活動或近期活動的安全性與活動區段。如果你看到一份包含時間戳、裝置及位置的活動清單，就代表你身處正確位置。
不要只依賴單一封電郵通知。通知可能延遲或合併發送。活動記錄才是主要紀錄。
第二步：閱讀事件類型
事件類型告訴你發生了哪種驗證。常見類別包括：
- 互動式登入：有人在瀏覽器或應用程式中輸入憑證。
- 非互動式或背景登入：權杖更新、同步或服務連線。
- 安全性資訊變更：新增或修改了密碼、別名或復原方法。
- 異常活動標記：Microsoft 已將事件標記為需要審查。
如果事件是背景同步，它未必代表有真人重新登入。郵件客戶端、日曆應用程式及流動裝置經常更新權杖。同步事件出現新位置，可能只是反映電訊商路由或雲端服務端點。
第三步：檢查時間與時區
將事件時間戳與你自己的日程比較。在你所在時區凌晨 3 點登入，只有在你當時正在睡覺且沒有裝置同步的情況下才值得懷疑。請記住，記錄可能以不同時區顯示時間。得出結論前請先換算。
同時查看頻率。單一異常時間的事件，證據力弱於橫跨數天的連串事件。
第四步：識別裝置與應用程式
裝置詳情通常包括作業系統、瀏覽器或應用程式名稱。請自問：
- 我認得這部裝置嗎？新手機、工作手提電腦，或你忘記了的平板電腦，都可能顯示為陌生裝置。
- 應用程式符合我的習慣嗎？你上個月安裝的郵件客戶端，可能顯示為新裝置。
- 裝置名稱是否通用？許多應用程式會回報為「Unknown」或型號編號，這不是入侵者的證據。
如果裝置確實陌生，而事件屬於互動式，請將其列為審查項目。
第五步：謹慎解讀位置
登入記錄中的位置是大概位置，由 IP 地址推算而來。它不是街道地址，也不能識別個人。流動網絡商可能將流量路由至與用戶實際位置不同的地點。
流動網絡商可能將存取路由至與用戶實際位置不同的地點。來源
這意味着，來自你從未到訪城市的登入，仍可能是你自己的裝置經由電訊商網絡或 VPN 進行。相反，來自家鄉城市的登入，也不能證明該人就在家中。
Microsoft 的「近期活動」檢視會顯示過去三十天內的重要帳戶活動，而非每一次使用。
Microsoft「近期活動」顯示過去三十天內的重要帳戶活動，而非每一次使用。來源
因此，「近期活動」中沒有事件，並不代表沒有發生其他登入。如需完整情況，請使用更完整的登入記錄。
對於「異常活動」區段中展開的項目，Microsoft 提供確認選項。
Microsoft 為「異常活動」區段中展開的項目提供確認選項。來源
這些選項讓你確認事件是否由你本人產生。請將它們作為審查的一部分，而不是取代更改已洩露密碼的做法。
第六步：考慮郵件客戶端同步
郵件客戶端是令人困惑記錄的常見來源。桌面郵件應用程式、流動郵件應用程式或日曆同步，都可能產生背景驗證事件。這些事件顯示的位置，可能反映同步服務或電訊商，而非你的實際位置。
如果你看到來自陌生位置的非互動式事件，但裝置與你使用的郵件應用程式相符，該事件很可能無害。如果裝置也陌生，請升級至下方決策表的審查欄。
決策表：確認、審查或保護
記錄事件類型、時間、裝置及位置後，請使用此表。選擇符合你證據的最高一行。
| 證據模式 | 決定 | 下一步行動 |
|---|---|---|
| 事件為非互動式，裝置與已知郵件客戶端或應用程式相符，位置為電訊商或雲端端點 | 確認 | 無需行動；記錄此模式以備日後參考 |
| 事件為互動式，裝置已知，位置陌生但時間與你的活動相符 | 審查 | 檢查裝置近期同步記錄；如 Microsoft 提供確認選項，請確認事件 |
| 事件為互動式，裝置陌生，位置陌生，且時間與你的活動不符 | 保護 | 從可信裝置更改密碼；審查復原方法；如可行，登出陌生工作階段 |
| 事件是你並未進行的安全性資訊變更 | 保護 | 立即更改密碼；審查別名及復原方法；保留你控制之復原方法的使用權 |
| 多個事件橫跨數天，來自陌生裝置或位置 | 保護 | 視為潛在入侵；更改密碼並徹底審查帳戶活動 |
此表僅供指引，並非裁決。單一陌生位置但裝置已知，通常不如你並未進行的安全性資訊變更那麼緊急。
常見錯誤
- 將 IP 位置當作實際地址。 IP 地址識別的是網絡端點，不是個人或街道地址。流動網絡商和 VPN 可能令位置產生誤導。
- 因單一背景同步而恐慌。 郵件客戶端和日曆應用程式會產生非互動式事件，看起來像登入。
- 忽略時區。 不同時區的時間戳，可能令正常事件看起來像凌晨 3 點的入侵。
- 假設「近期活動」是完整的。 「近期活動」顯示過去三十天的重要活動，而非每一次使用。如需完整審查，請使用更完整的記錄。
- 在保護帳戶前移除復原方法。 如果你移除復原方法後失去存取權，你可能會被鎖定。請先保護帳戶，然後更新復原方法。
- 未檢查裝置就歸咎陌生位置。 新裝置名稱不是入侵者的證據；它可能是你忘記的裝置，或通用的應用程式標籤。
保護自己的數碼足跡
冷靜審查登入活動，是更廣泛習慣的一部分：了解網上甚麼與你的身份相連。公開用戶名稱和帳號往往是帳戶存在的第一條線索。TraceSeek 會在 3,000+ 個平台檢查用戶名稱，並在 20–30 秒內回傳公開匹配結果，首次掃描免費且無需註冊。這些匹配結果是線索，不是擁有權證明，而 TraceSeek 不會存取私人記錄或更改帳戶設定。
如果你想了解哪些帳戶與某個電郵地址相連，請參閱有關尋找與電郵地址相連帳戶的指南。如果你想復原忘記了的帳戶，請參閱有關尋找忘記了的網上帳戶的指南。兩份指南都能協助你在決定保護甚麼之前，先建立清單。
關鍵事實
- Microsoft「近期活動」顯示過去三十天的重要帳戶活動，而非每一次使用。
- 流動網絡商可能將存取路由至與用戶實際位置不同的地點。
- Microsoft 為「異常活動」區段中展開的項目提供確認選項。
- 登入記錄中以 IP 為依據的位置是大概位置，不能識別個人，也不能證明實際地址。
- TraceSeek 會在 3,000+ 個平台檢查用戶名稱，並在 20–30 秒內回傳公開匹配結果，首次掃描免費且無需註冊。