密码还记得，登录页面却要求输入旧手机里每三十秒变化一次的六位数。手机丢失带走的不只是设备，还带走了很多账户的第二把钥匙。验证器提高了安全性，但若所有恢复手段都放在同一部手机里，事故发生时，保护也可能变成锁住自己的门。
先弄清验证码存在哪里。部分验证器可以登录账号并加密同步到其他设备，部分支持云备份，也有人选择完全离线、只保存在本机。微软验证器的恢复还受设备平台影响，工作或学校账号恢复后常需要重新登录。看到账号名称重新出现，不等于每项凭据已经可用。
事故前应为重要账号准备至少一种独立备用方式：打印并安全保存的一次性备用代码、另一台可信设备、硬件安全密钥或经过保护的恢复联系方式。备用代码不是普通密码，任何拿到它的人都可能绕过第二步，因此不要截图后留在同一手机相册，也不要发到聊天软件。
手机丢失后，先使用苹果或安卓的查找功能锁定并在必要时远程擦除，同时联系运营商处理号码和SIM卡。随后从尚能登录的可信设备进入账号安全页面，移除丢失设备、撤销旧会话，检查恢复邮箱和电话，并重新生成已经暴露或遗失的备用代码。
如果验证器曾同步，可在新设备安装官方应用并登录正确恢复账号。若没有同步而旧机也拿不回，只能逐个网站使用各自的账号恢复程序，再重新绑定验证器。银行、工作单位和政府服务可能要求额外身份证明，客服也不能为了方便跳过安全流程。
不要把验证码念给来电者。攻击者会冒充银行、技术支持或公司人员，声称需要代码“确认是你”。动态码、推送批准和备用码都只应在你主动打开的官方登录页面使用。连续收到并非自己发起的批准请求，应拒绝并立即检查密码和账号活动。
换手机时不要过早抹掉旧机。先验证新设备能进入每个关键账号，再移除旧验证方式；工作账号还可能受组织设备管理限制，需要管理员重新注册。把账户清单和恢复位置记录在安全的密码管理方案中，能避免遗漏那些一年只登录几次的服务。
两步验证的价值来自钥匙分离：密码泄露时，攻击者仍缺少第二步。恢复设计也应遵循同样原则，不把手机、密码、备用码和恢复邮箱全放在同一处。最好的恢复流程不是丢机后临时想出来，而是在手机仍安稳躺在手中时就走过一次。
资料来源
谷歌：验证器同步、转移与丢失设备处理；谷歌：两步验证备用代码；微软：恢复验证器账户。本文提供一般信息，不代替针对个人情况的金融、医疗、移民、法律或其他专业意见；规定、产品状态、开放安排和个人情况请以相关机构最新资料为准。
