谷歌悄悄把你的手机号绑到所有 Google 账号
谷歌悄悄把你的手机号绑到所有 Google 账号
你有没有过这种感觉——为了把工作和生活分开，你专门多注册了一个 Gmail；为了注册某些你不想暴露真实身份的服务，你又申请了一个小号；为了给某个一次性用途（比如下载某个白皮书、薅某个羊毛），你甚至开了第三个、第四个 Google 账号。你把它们分得清清楚楚，主号绑定你的主 SIM，副号从来不填手机号，工作账号用公司的别名邮箱。你以为你做到了"账号隔离"。
然后今天你打开 myaccount.google.com/personal-info，翻到 Contact info > Phone，发现你那个"绝不告诉公司"的小号 recovery phone，不知什么时候已经被谷歌悄悄写上了你自己的手机号。
不是你自己填的。你从来没填过。是你没收到任何确认弹窗、没收到任何单独询问、没收到任何明确的"是否同意"的按钮——它就那么自己进去了。
这就是 Android Authority 在 2026 年 10 月 14 日捅出来的那件事。
一、到底发生了什么——一项"默认开启"的更新
事情的入口，是谷歌在 2025 年 8 月到 10 月之间悄悄改了一段支持文档，链接是 support.google.com/android/answer/7521240。改完之后那段话变得非常直白：
On your device, phone number verification is turned on by default. We verify the phone number and add them to all Google Accounts that are signed in on the device. This applies to both current and future accounts and phone numbers.
翻译成大白话：默认开启，自动验证，自动把设备上当前和未来所有 Google 账号，全部绑定你这张 SIM 卡的号码——不只是当前账号，包括未来你再登录的新账号。
最先发现这件事的是 Reddit 用户 Nanosinx，他在 r/Android 板块发帖说，自己突然收到一封来自 [email protected] 的验证邮件，标题大概是"你的号码已被验证"——但他从未主动操作过。Android Authority 编辑 Aamir Siddiqui 在 10 月 14 日跟进做了完整调查。TechRadar、Yahoo Tech、WebProNews 在 10 月 15 日纷纷转载。国内 IT 之家在 10 月 16 日上午跟进做了中文报道。
这里有几个细节值得你注意：
- 它静默运行。没有"我们建议开启"的提示框，没有"是否同意"的弹窗，没有发短信让你输入验证码——验证是后台跑的。
- 它跨账号。你手机里登的每一个 Google 账号（主号、副号、工作号、马甲号），都会被悄悄写上同一个手机号。
- 它跨未来。你今天没登录某个账号，明天登录时，那个号码已经被预填进去了——因为它针对的是"未来账号"。
- 它不区分设备。Pixel、Samsung、Xiaomi、OPPO，只要装 Google Play Services，都在范围之内。GrapheneOS 这种主打隐私的去 Google 化系统，有用户反馈即便装了 Play 服务也中招。
二、为什么这件事让你后背发凉——四个具体原因
2.1 你做的所有"账号隔离"，一夜归零
很多读者应该都熟悉一种操作：注册一个小号专门用来注册那些"薅羊毛"或者"测试用"的服务，主号绑定主 SIM，小号从不填手机号。这样万一小号泄露、被撞库、被钓鱼，也不会拖累主号。这种隔离的整个前提是：每个账号的恢复方式互相独立。
现在谷歌用一个默认开关，把"独立性"抹掉了。攻击者只要拿到你这一个手机号，就有了你这台手机上所有 Google 账号的恢复钥匙。
2.2 你以为你关了，其实没关
谷歌在支持文档里附了"如何关闭"的步骤：设置 → Google → 所有服务 → 隐私与安全 → 手机号码验证 → 关闭"自动验证电话号码"。听上去很贴心对不对？
但有两件事谷歌没在显眼位置说：
- 关闭只能阻止以后的关联。已经被默认写进你那些小号里的手机号，仍然在那个账号里。关掉开关，并不等于"删除已经写进去的号码"。
- 要去掉已经写进去的号码，必须登录每个账号、进入"个人信息 → 联系信息 → 电话"、手动删除。如果有 3 个账号，就要做 3 次。
更糟糕的是，TechRadar 和 Yahoo Tech 都引用了用户的反馈：关闭开关之后，过一段时间返回设置页面，开关会自己重新打开。 Android Authority 表示无法复现这一现象，已经向谷歌求证——但用户的截图已经在 Reddit 上挂着了。
2.3 你没办法"事先拒绝"
这件事最让人不舒服的地方，是它的默认状态。如果你装了新手机、登录了一个新的 Google 账号、把它当工作账号用，你从头到尾都不会知道"系统已经替你做了关联"——直到某天你登录 myaccount.google.com/personal-info 翻看时才发现。
这跟"我已经看到了弹窗，点了同意，然后忘记关"完全不同。这是根本没出现过任何弹窗。你根本没机会说"不"。
2.4 你不知道它持续多久、范围多广
Android Authority 的记者 Aamir Siddiqui 自己也承认：他的员工并未全部收到谷歌的验证邮件——但他们在多个账号里发现了"开关已默认开启"的状态。这意味着通知机制本身可能就是不完整的。
Kaspersky 在 2026 年 7 月 22 日发布过一篇分析，详细拆解了 Google Play Services 的两种验证实现：旧的方式是从设备后台发一条隐藏 SMS 给谷歌服务器，里面带 ICCID / IMSI / 设备信号；新的方式是直接通过运营商 API 查询。无论哪种，都会向运营商泄露"Google 在什么时候查询了这个用户"。这条 metadata 流向哪里、被谁看到，没人知道。
三、谁会被真正击中——三种你可能没想到的"你"
3.1 自由职业者、跨境电商、博主——账号有工作/私人分割的人
如果你有"工作 Gmail + 私人 Gmail + 一个测试账号"，你大概率已经被牵连。具体证据：去 myaccount.google.com/personal-info，切换到你的副号，看看 Contact info > Phone 是不是已经被填了你主 SIM 的号码。
3.2 用 Google 账号登录非 Gmail 服务的人
很多人没意识到：Google 账号体系是一个联邦身份。你用一个 Google 账号登录 YouTube、Google Drive、Google Photos、Google Play、Notion、Figma、Todoist、Anthropic Console……只要那个账号的恢复手机号被绑死了，所有这些第三方服务的"通过 Google 找回账号"路径也都被绑死了。
3.3 在国内使用 Android + Google Play 服务的用户
如果你因为业务、出海、留学、游戏需要，机器里装了 Google Play 服务，那你同样在范围内。这件事和地域无关，只和"你的 Android 设备上是否登了多个 Google 账号"有关。
四、你今天就能做的 5 件事
不需要等谷歌回复，按这五步来：
- 立刻检查：打开
myaccount.google.com/personal-info，逐个切换账号（右上角头像），进入 Contact info > Phone，看哪些账号已经被填了你不想让它知道的号码。 - 关闭默认开关：设置 → Google → 所有服务 → 隐私与安全 → 手机号码验证 → 关闭"自动验证电话号码"。关闭之后，过几天再回来看一眼——目前有用户报告开关会自动重开。
- 手动清理：对每个被错误关联的账号，进入"个人信息 → 联系信息 → 电话"，手动删除你不想要的那个号码。这一步必须逐账号操作，没有批量。
- 关键账号换验证方式：对最敏感的账号（主 Gmail、绑定了银行/交易所/云盘的），考虑改用硬件安全密钥（YubiKey 等）或 Google Authenticator / Authy 这种 TOTP——不要再依赖 SMS 验证码作为唯一恢复手段。
- 评估是否要拆分设备：如果你需要严格的账号隔离，最稳的做法不是"多账号"，是"多设备"——一张专门的备用机，只登小号，不装 Play 服务。
五、不只是谷歌——这是"默认替你做主"的普遍模式
如果你读到这一段觉得特别熟悉，那是因为你一定经历过类似的事——只不过不一定在 Android 上：
- 微信或支付宝默认开启"通讯录匹配"，把你的整个通讯录悄悄同步到服务器，关掉也未必清干净；
- 各种 App 默认开启"个性化广告推荐"，要进 5 层菜单才能关；
- 银行 App 风险控制"一刀切"冻结账户，要你自己去找客服解释；
- iOS 新版本默认开启"分析数据"和"重要地点"，每次都要重新关；
- 各种会员系统"积分到期清零"，从不单独提醒你。
模式一模一样：默认开启 + 静默执行 + 关掉很难 / 关掉也清不干净 + 用户在不知情的情况下，自己的数据已经被改写了。
普通人在面对"平台默认替你做主"这件事时，几乎没有任何有效的反抗工具。我们能做的，只是尽可能早地发现、尽可能彻底地清理——但这一切的前提是：你今天看到了这篇文章。
而那些没看到的、不知道去哪里检查的人呢？他们的账号里，正在悄悄写着一个他们从未同意过的号码。
这件事让人后背发凉，不是"谷歌多坏"——而是在"默认替你做主"的世界里，每个人都得变成自己的系统管理员。
数据来源
- Android Authority — Aamir Siddiqui《PSA: Google is silently linking your phone number across all signed-in accounts》— 2026-10-14 — https://androidauthority.com/google-auto-phone-number-verification-android-3723117
- Google 官方支持文档《Android 手机号码验证》— https://support.google.com/android/answer/7521240
- Reddit r/Android — Nanosinx 帖《Google is now self-verifying phone number without consent》— https://www.reddit.com/r/Android/comments/1x5isox/
- TechRadar — 2026-10-15《Google sparks privacy outrage by quietly linking phone numbers to secondary accounts》— https://techradar.com/phones/android/google-sparks-privacy-outrage-by-quietly-linking-phone-numbers-to-secondary-accounts-on-android-phones-heres-how-to-disable-it
- Yahoo Tech — 2026-10-15《'I'm so sick of this:' Google has started automatically linking your phone number to all your accounts》— https://tech.yahoo.com/cybersecurity/articles/im-sick-google-started-automatically-104307927.html
- WebProNews — 2026-10-15《Google's Quiet Phone Number Linkage on Android Raises Privacy Questions》— https://webpronews.com/googles-quiet-phone-number-linkage-on-android-raises-privacy-questions
- Kaspersky — 2026-07-22《Google phone verification RCS analysis》— https://www.kaspersky.com/blog/google-phone-verification-rcs-2026/56162/
- IT之家 — 故渊《谷歌新安卓默认设置引发隐私争议：未经用户同意一个号码连起所有账号》— 2026-10-16 — https://www.ithome.com/1/013/762.htm