网页或聊天人员要求共享屏幕、安装远程协助组件时，风险不只在对方能看见画面。键盘输入、短信弹窗、密码管理器和支付确认都可能在会话中暴露。若已经开始共享，先中止连接并隔离敏感账户，再考虑卸载组件和整理证据。不要在仍被观察的设备上立刻改所有密码。
第一步是让远程会话真正停止
点击结束后还要退出程序，必要时断开无线和网线；只关闭聊天窗口不等于控制通道已经断开。这一环节以远程会话编号、程序名称、开始结束时间、文件传输与账号提醒为证据起点。操作前记录原状，执行“断开网络并结束远程进程，改用可信设备保护邮箱和支付账户”时只改变一个条件；若结果无法复现，就暂时标为未知，不把时间上的先后直接当成因果。
用另一台可信设备保护核心邮箱
邮箱能够重置许多账户，应先改成独立密码、退出陌生会话并检查转发规则和恢复方式。这里的安全边界是：不接受再次连接、代操作、解锁或验证身份的请求。任何催促都不能替代独立核验，应回到系统进程、自启动清单、安装记录和金融机构通知确认；页面自己的说明只能算待验证线索，不能反过来证明自身可靠。
立即联系支付机构核对交易
说明发生过远程控制，询问临时限制、争议登记和观察措施，不依赖来电者提供的号码。完成处理后用“重启后无自启动远控，账号会话和交易记录均无新增异常”作为验收标准。一次刷新或一次成功打开都不够，至少保留起止时刻、设备和结果，让另一位使用者按同样条件也能得到相同判断。
记录远控程序和会话编号
保留程序名称、连接代码、对方账号、开始时间和看到的操作，截图时遮住无关个人资料。若本步骤会覆盖历史，先把远程会话编号、程序名称、开始结束时间、文件传输与账号提醒保存到只读副本。截图对外提交时遮住验证码、完整账号和无关联系人，文件名写明时间，后续分析在副本上进行。
检查是否开启无人值守访问
部分工具会保存固定密码或开机自启，撤销设备绑定和访问口令比单纯卸载更先一步。不要同时清缓存、换网络和改账号设置，否则即使现象消失也无法知道哪一步生效。更稳妥的顺序是断开网络并结束远程进程，改用可信设备保护邮箱和支付账户，随后回到系统进程、自启动清单、安装记录和金融机构通知复核，异常仍在再扩大范围。
核对远程期间打开过的窗口
浏览器、邮箱、密码库和文件管理器的最近记录能帮助界定暴露范围，不能只凭记忆估计。对家人、客服或技术人员说明问题时，采用事实、动作、结果三栏：事实来自远程会话编号、程序名称、开始结束时间、文件传输与账号提醒，动作保持最小化，结果以重启后无自启动远控，账号会话和交易记录均无新增异常判定。这样能减少口头转述造成的新误差。
清理临时文件和已传输内容
先保留证据副本，再检查收件目录、剪贴板历史和最近文件，未知程序不要再次运行。这一环节以远程会话编号、程序名称、开始结束时间、文件传输与账号提醒为证据起点。操作前记录原状，执行“断开网络并结束远程进程，改用可信设备保护邮箱和支付账户”时只改变一个条件；若结果无法复现，就暂时标为未知，不把时间上的先后直接当成因果。
逐个账户处理而非同时乱改
按邮箱、支付、社交和普通服务的优先级推进，每完成一个就记录改密、退出会话和验证结果。这里的安全边界是：不接受再次连接、代操作、解锁或验证身份的请求。任何催促都不能替代独立核验，应回到系统进程、自启动清单、安装记录和金融机构通知确认；页面自己的说明只能算待验证线索，不能反过来证明自身可靠。
重启后复查进程与网络连接
观察是否有同名服务恢复、权限提示或异常外连，无法解释时可请可信技术人员离线检查。完成处理后用“重启后无自启动远控，账号会话和交易记录均无新增异常”作为验收标准。一次刷新或一次成功打开都不够，至少保留起止时刻、设备和结果，让另一位使用者按同样条件也能得到相同判断。
保留交易与聊天原始证据
订单号、收款主体、时间和完整对话应按顺序归档，不剪拼关键信息，也不把可点击内容转发扩散。若本步骤会覆盖历史，先把远程会话编号、程序名称、开始结束时间、文件传输与账号提醒保存到只读副本。截图对外提交时遮住验证码、完整账号和无关联系人，文件名写明时间，后续分析在副本上进行。
处理结束前应恢复必要的安全设置，并做一次反向检查：该保留的通知、同步或连接是否仍正常，该撤销的权限是否真的失效。只关注异常消失，可能会留下过度清理带来的新问题。 这是第1项补充复核。本篇应继续以重启后无自启动远控，账号会话和交易记录均无新增异常为完成条件，不能用主观安心替代复测结果。
需要向外部机构求助时，先整理一页摘要，再附原始材料。摘要写明发生了什么、已做哪些处置、当前还缺什么结果；原始材料保持时间顺序和完整上下文，避免在多个聊天窗口反复散发敏感信息。 这是第2项补充复核。本篇应继续以重启后无自启动远控，账号会话和交易记录均无新增异常为完成条件，不能用主观安心替代复测结果。
把关键步骤写进一张简短记录表还有一个好处：当现象隔天再次出现时，可以直接比较环境差异，而不用凭记忆重做全部操作。记录应包含设备、账户资料、网络、起止时刻和唯一变量；与问题无关的个人内容不应收集。 这是第3项补充复核。本篇应继续以重启后无自启动远控，账号会话和交易记录均无新增异常为完成条件，不能用主观安心替代复测结果。
若多个来源给出不同说法，先比较发布时间、适用范围和能否追溯原始记录，不用页面数量决定真假。相互复制的十个页面仍可能只有一个源头；一条带版本、时间与责任主体的记录通常更有核验价值。 这是第4项补充复核。本篇应继续以重启后无自启动远控，账号会话和交易记录均无新增异常为完成条件，不能用主观安心替代复测结果。
处理结束前应恢复必要的安全设置，并做一次反向检查：该保留的通知、同步或连接是否仍正常，该撤销的权限是否真的失效。只关注异常消失，可能会留下过度清理带来的新问题。 这是第5项补充复核。本篇应继续以重启后无自启动远控，账号会话和交易记录均无新增异常为完成条件，不能用主观安心替代复测结果。
收尾判断以可复核结果为准
屏幕共享事件的处置目标是恢复设备控制权、缩小账户暴露并阻止新增交易。先断连接，再换可信设备保护核心账户，最后检查自启动和文件痕迹，这个顺序比在原设备上急着修改一切更安全。发现未授权交易或明确欺诈迹象时，应尽快联系支付机构和当地有管辖权的渠道。