JiaXu's Blog
导语：美国音乐人/虚拟主播OtterBoy_VA的Google账号被盗后，黑客用家庭组功能把他变成了自己的”未成年子女”，导致账号恢复必须先问黑客要密码。190万次播放的吐槽贴下面，评论区把他”被收养”这件事办成了一场跨国家庭团聚仪式。
事件经过
6月25日凌晨，OtterBoy_VA（Vito Z Holmes）在X上甩出一张Google账号恢复界面的截图，配文就一句话：
“So the hacker made it so that I’m their child, and I can’t move on with the account recovery unless I have THEIR password. Lest someone has any ideas, I don’t think I’m getting back into my own account ”
翻译过来就是：黑客把我变成了他的孩子，要恢复账号得先拿到他的密码。除非有人能支招，否则我大概再也登不上自己的账号了 。
这条推文随即在科技圈和网络安全圈同时刷屏。截至发稿前已收获约190万次浏览、4.1万次点赞、近千次转发、近200条回复。
这是一场怎样的攻击
让OtterBoy_VA”被收养”的，是Google的Family Link（家庭组）功能。它本是给家长管理孩子设备的工具，攻击者的玩法却相当直白：拿到受害者的密码或会话令牌后，先把账号密码改掉、移除备用邮箱和手机号，再把受害账户拉进自己的家庭组、年龄改成”未满16岁”。这样一来，账号就进入了”未成年模式”——任何敏感操作、包括账号恢复，都必须经过”家长账户”的批准。
问题来了：这个”家长”，正是攻击者本人。
于是OtterBoy_VA面对的处境就变成了一道荒诞的循环题——要重置密码？需要家长批准。家长是谁？黑客。要联系家长？需要家长的密码。密码在谁手里？还是黑客。
完整攻击流程大致是这样：
Reddit的r/GoogleSupport和r/GMail版块上，类似遭遇的帖子已经攒了几十页。安全研究机构ReversingLabs今年5月专门发文称，这是一类正在被大规模滥用的”家庭组漏洞”，目前的最佳应对策略几乎只有”事前防御”。
评论区有多欢乐
按理说，受害者发帖求助，评论区应该是”加油””报警””找Google客服”之类的严肃建议。但这一条下面，198条回复集体跑偏到了同一个频道——家庭关怀频道。
下面按调性分组，让大家感受一下这场跨国家庭团聚仪式：
🏠 「恭喜收养」派
上来就是一声声温暖的道贺，仿佛OtterBoy_VA不是被黑客盗号，而是刚办完跨国领养手续：
@lognostwin：You’re adopted. @f1nalrush：Congrats on getting adopted! 🥳 @CourtJester0000：Congrats on your adoption. @h12029945：well atleast you have a new parent. @o_____o：hacker made me their child.（模仿原推）
👨👧 「家庭关怀」派
既然入了新家庭，那就有新的家庭规则要遵守：
@RyanTmhg：You must ask daddy. @FerchoGGowo：Well ask your parent for the password, duh? @GamerPrincessXI：Ask them for an allowance. @naeggy_：ground them. @pedromaimere：When you turn 18, you can leave this toxic family. (I’m being serious. This is a feature.) @aashactarl1：Just tell your bank to cancel the payment. It’s not their credit card.（答非所问，但架势拉满）
😏 「反向家长」派
有人干脆切换视角，反过来训OtterBoy_VA：
@wetdiaperteen：Looks like you are really a 10 year old, and your parents have a parental controls acount set up, and you are trying to bypass it.
这位的语气，活脱脱就是一位正在质问”你是不是又想玩手机游戏”的父亲。
🤷 「键盘侠」派
提建议是认真的，但建议本身基本无用：
@aratakipilled_：hack them and find their password duh. @TwistySponge：Contact Google. @niko_tar_gz：contact google support. @wexsav3：ever thought about calling the police. @KadeRivers70195：Contact google support and provide you info you used to sign up. they will probably ask you for photo ID. @HikariUber：It’s 2026. If you don’t have 2-factor authentication on all your important accounts, you’re asking to have your digital life destroyed.
🤝 「同病相怜」派
这几位是真的笑不出来：
@BruinsFan_1214：Same shit happened to me too. @Kajah995：This happened to me and did not end in my favor… Sadly this is a new hack there is no infrastructure to prevent. @jaziebunz：That’s the same mf that hacked my discord and email. Sadly you’ll have to make a new email cause it’s damn near impossible to get in touch with google. @SebAndButter：From my experience trying to fix this for other users (with both Google and Microsoft), their is next to no chance of recovery.
🛠 「最有用但最不欢乐」奖
必须颁给这条60+点赞的长回复。@cluosion 一字不差地拆解了完整攻击链：拿到会话 → 修改密码 → 移除备用联系方式 → 设置为儿童账号 → 勒索或永久占据，最后建议大家”启用基于Authenticator应用或硬件密钥的2FA，别再乱点链接”。整个评论区最有用的一条，氛围也最冷峻。
🎬 其他亮眼短评
@eve_tempest_：NOOOO LMAO, they put you on family link 😭😭 @mrpristyt：The hacker made you their child… I guess? @wiouch：thats really funny out of context, like this sucks but @ftn_ale：That is the funniest possible thing a hacker could do. @Nightmarebkup：They are getting smarter. @DehFanBoy_：Huh. That’s new. @OcalMK123：what the fuck??? @RestlessX12：Reach out to @TeamYouTube on Twitter, they helped me get my hijacked channel back within a few days.
找回账号有多难
从已有的受害案例来看，找回账号并非不可能，但成本极高。几位成功找回的用户分享了经验：联系TeamYouTube（如果账号绑定了YouTube频道）有用户称几天内就拿回了频道；在Reddit发帖汇总完整证据链、反复向Google支持团队申诉；有用户花了整整一个月才拿回账号，期间需要反复提交身份证明、过往活动记录等材料。
OtterBoy_VA本人在评论区也追了一条”@TeamYouTube 能帮帮我吗？”获得了1300多次点赞——比起那些玩梗的回复，这条才让人看到他真的在想办法。
给普通用户的提醒
如果你不想成为下一位”被收养”的对象，几条基本功不能省。不要在Google账号上只设密码，务必开启基于Authenticator应用或硬件密钥（YubiKey等）的两步验证；备用邮箱和手机号一定要保留，并定期检查是否被改动；不要在不熟悉的设备上登录，尤其是下载来路不明的”游戏模组””破解工具”——大量受害案例的最初入口都是一个看似无害的模组文件；最关键的一条：先下手为强，自己建一个空的家庭组并把自己设为”家长”，攻击者就无法再把你加进别人的家庭组了——这是目前已知的唯一”提前免疫”手段。
事情本身是一起标准的安全事故，但能让190万人围观的，是它那种黑色幽默般的荒诞感：一家全球最大的科技公司，本想用”家庭组”保护未成年人，最后却让成年用户失去了对自己账号的全部控制权。OtterBoy_VA的遭遇并不是个例。它更像是一个提醒：今天我们信赖的”安全功能”，明天可能就会变成锁住我们的那把钥匙。
