您的旧电话号码仍可用于登录您的账户

更换运营商时，通常可以携号转网。但若不携号转网，情况就变得耐人寻味了。 签订新合约并获得新号码，第二张SIM卡被注销，预付费卡余额用尽。但旧号码并未消失。它会返回运营商处，迟早会被分配给其他人。与此同时，它依然存在于你的Google账户、PayPal账户以及银行账户中，作为你重新登录的凭证。

在德国，号码会立即归还

这里没有法律规定的保护期。德国的号码分配法规《电信号码分配条例》（Telekommunikations-Nummerierungsverordnung）在第9条第3款中对此作了规定，内容如下： “派生分配的号码，在该号码所对应的电信服务提供合同终止时，应归还给原始受让人。”所谓派生分配，是指你的运营商从其自有号码池中分配给你该号码。原始受让人即为运营商。合同终止，号码归还。 该条款中并未提及任何等待期。

运营商自愿等待多长时间由其自行决定。德国电信（Deutsche Telekom）在其帮助论坛中对此问题进行了极为坦率的描述。该论坛指出，号码封存期“根据运营商的不同，可能持续1至6个月”，并进一步说明：“一旦该号码被重新释放，就会分配给新用户，从而可能使该用户间接访问到你的大量数据和账户。”几段之后，帖子给出了具体说明。它指出，WhatsApp会在45天后删除不活跃账户，但“如果旧手机号码在某些情况下30天后就被重新释放”，这几乎毫无帮助。

与美国的对比令人不安。在美国，监管机构联邦通信委员会（FCC）规定，消费者账户的保留期限最短为45天，最长不超过90天。而德国目前尚无相关规定。

这并非资源稀缺的问题。德国电信监管机构联邦网络管理局（Bundesnetzagentur）在其免费号码区段概览中列出了约430个号码区段，每个区段包含100万个手机号码。根据其年度报告，截至2025年底，共有1.064亿个SIM卡账户处于活跃使用状态。 任何重新分配号码的行为都是出于运营原因，而非因需求所致。

美国测量的内容

迄今为止，唯一一项提供确切数据的研究来自美国。普林斯顿大学的凯文·李（Kevin Lee）和阿文德·纳拉亚南（Arvind Narayanan）于2020年8月和9月从威瑞森（Verizon）和T-Mobile购买了259个可自由获取的电话号码，并核查了这些号码目前关联的信息。

其中171个号码（占66%）在前任持有者的亚马逊、AOL、Facebook、谷歌、PayPal或雅虎账户中，至少仍存在一个账户。 在第二轮测试中，研究人员选取了200多个被回收的号码，并对每个号码进行了为期一周的监控。其中19个号码（占比不到10%）在那一周内收到了与安全相关的消息。其中6个号码收到了来自苹果、谷歌、微软、Facebook和WhatsApp等平台的一次性验证码。

这里有两点需要注意。 该数据采集于六年前，且仅涵盖两家美国运营商。德国方面既没有联邦信息安全局（BSI）的相关数据，也没有大学或消费者协会提供的类似数据。另一方面，出于对受影响人群的考虑，研究人员刻意未查阅消息内容，仅查看了发件人信息；他们自己也表示，实际比例很可能更高。

Porting 仅检查每次数据泄露事件中的内容

获取您号码的第二种途径并非通过等待，而是通过运营商。在SIM卡交换攻击中，攻击者冒充您，将您的号码转移到新卡上。

德国电信监管机构——联邦网络管理局（Bundesnetzagentur）在其消费者门户网站上详细描述了该核查流程。 用户应确保“原运营商和新运营商的客户信息一致：姓名、地址、出生日期以及待携入的号码”。这就是全部的核对内容。这四项信息均非机密，且在任何规模较大的数据泄露事件中都会被泄露。

德国四大运营商均未提供可预约的号码携转锁定服务。现有的仅是客服热线的密码，其有效性差异很大。在 o2 运营商处，这一便捷途径已被取消。当被问及是否可使用出生日期、地址或银行信息时，该公司回答：“很遗憾，这不可行。 自2023年2月16日起，您需要提供个人客户代码或手机合约的PUK码。”德国电信方面补充道，客户密码是自愿提供的，不能替代常规信息，而是作为补充。

背景信息：SIM卡盗换在德国并非大规模现象。 德国电信、1&1和西班牙电信均报告称2024年相关案件未出现显著增长，联邦刑事警察局（BKA）以及下萨克森州警方目前也认为此事影响不大。关键不在于此类事件发生的频率，而在于针对性攻击所需的实施成本依然较低。

为何偏偏是双因素登录系统会受到影响

令人困扰的是其攻击方向。你设置第二重验证来强化账户安全，却在此过程中构建了一个比前置密码更脆弱的后备机制。

德国联邦网络安全局（BSI）在其对双因素认证方法的评估中，正是指出了这一点。 该机构指出，如果单因素恢复机制能够取代双因素认证，这在根本上就存在重大隐患，并指出攻击者可以精准地针对这一薄弱环节发起攻击。向一个你已经两年未使用的手机号码发送短信，就是这种单因素机制的典型例子。

在此情况下，删除比添加更有效

在安全建议中，人们的本能反应往往是再增加一项措施。 但在这里，情况恰恰相反。

检查所有与金钱、身份或邮箱相关的账户，删除所有你不再使用的电话号码。这包括谷歌、苹果、微软、PayPal、亚马逊、你的银行账户，以及那个你已经多年未曾想起的备用邮箱地址。 在谷歌，这些信息位于“安全”栏目下，用于验证身份；在苹果，则位于账户设置中的“登录与安全”部分。

只要可能，请将短信作为第二验证因素替换为身份验证应用或密钥。 这两者都与设备绑定，而非与号码绑定。之后，在许多服务中，你可以完全移除该号码作为备用验证方式。

如果你要注销某个号码，请按以下顺序操作：先在所有地方退出登录，然后再注销号码。如果顺序相反，你会被锁在账户之外，而验证码却发到了别人手里。