Know Your Email’s Normal First A Simple Baseline Method to Spot a Hack

If a stranger walked through your house, you’d notice quickly. You know where things belong. Your front door, your shoes, your keys.

Your email account is the same, but most people have no idea what “normal” looks like there. Which devices are signed in? What’s your recovery phone number? Which apps can read your mail? Without that picture, a hacker’s changes blend right in.

This guide shows you how to build a one-page baseline of your email’s normal state, then use it to spot trouble in minutes.

Menus and page names change over time. If something looks different, search your email provider’s official help pages.

Why a Baseline Beats a Checklist

Most guides give you a list of things to look for. That’s helpful, but a list can’t tell you whether a login location is strange for you. A baseline can.

With a baseline, a month later you aren’t asking, “Does this look weird?” You’re asking, “Is this different from what I wrote down?” That’s a much easier question.

Step 1: Build Your Baseline (20 Minutes, Once)

Open a notes app or a sheet of paper. Sign in to your email and your account’s security page, then record the following.

1. Your devices

List every phone, computer, and tablet that’s signed in. Most providers have a “devices” or “where you’re signed in” page in security settings.

Write down each device’s name and roughly where it’s used. Sign out of any you no longer own.

2. Your usual locations

Look at your recent sign-in history. Note the cities or regions that appear regularly: home, work, a relative’s house. A VPN or mobile network may show a different city, so write that down too if you use one.

3. Your recovery options

Record your recovery email address and phone number. These are the keys to getting back into your account, so they should always be yours.

4. Your forwarding and filters

Check settings for forwarding to another address and for filters or rules. Most people have none, or just a few. Write down what’s there, even if the answer is “nothing.”

5. Your connected apps

List the third-party apps and services allowed to access your account. Remove ones you don’t use anymore, then record what remains.

6. Your security setup

Note whether two-factor authentication is on, which method you use, and when you last changed your password.

7. Your inbox habits

Jot down two or three habits that make unusual activity easy to notice. For example: “I never send emails after midnight,” or “I check my sent folder weekly.”

Keep this page somewhere safe, like a password manager’s secure notes. Don’t store it in the same inbox it describes.

Step 2: The 10-Minute Monthly Compare

Set a calendar reminder on the first of each month. Then run through this routine and compare against your baseline.

1. Devices: Any new ones? Sign out anything you don’t recognize.
2. Locations: Any sign-in from a place that isn’t on your list?
3. Recovery info: Do the email and phone still match?
4. Forwarding and filters: Anything new?
5. Connected apps: Anything you didn’t authorize?
6. Sent and trash folders: Anything you don’t remember sending or deleting?
7. Alerts: Any security notifications from your provider that you didn’t act on?

If everything matches, you’re done. If something doesn’t, you’ve found it early, and you know exactly what changed.

What “Different” Can Mean

Not every change is an attack. Here’s how to think about it.

The last two are the biggest red flags, because attackers use them to stay hidden or to take over later.

Check Whether Your Address Appeared in a Breach

Your baseline also helps you decide what a breach means. Tools like Have I Been Pwned show whether your address appeared in known data breaches.

• If it did: change the password on that service, and on any account where you reused it
• If it didn’t: that doesn’t prove you’re safe, only that it’s not in the known data

A breach isn’t the same as a hack. A hack means someone actually logged in to your account. Your baseline and sign-in history tell you which one you’re dealing with.

If Something Doesn’t Match: The First Hour

1. Change your email password to a long, unique one
2. Sign out of all other devices and sessions
3. Turn on two-factor authentication, preferably with an authenticator app
4. Remove unknown forwards, filters, and connected apps
5. Fix your recovery info if it was changed
6. Check other accounts that use the same email or password
7. Tell your contacts if suspicious messages went out from your account
8. Scan your devices for malware with a trusted security tool

If you’re locked out, use your provider’s official recovery page directly, not a link from an email.

A Quick Example

I tried this on my own Gmail account. I checked my account and found 4 devices logged in and 15 connected apps. Out of those 15 apps, I actively use only 3, so I removed access for the other 12. I wrote my new baseline in a note: 4 devices and 3 apps. The whole check took me about 3 minutes. Next month I will compare again, and if anything new appears that I don't recognize, I will remove it and change my password.

Fake “We Hacked You” Emails

Scammers sometimes email people claiming they’ve hacked their account, often quoting an old password from a past breach to look real. These messages are usually bluffs. Don’t pay and don’t click any links. Compare your account against your baseline instead. If nothing changed, change the old password everywhere it was used and move on

Mistakes to Avoid

• Skipping the baseline and relying on gut feeling
• Storing your baseline in the same inbox it describes
• Ignoring a “new device” alert because you’re busy
• Reusing your email password on other sites
• Forgetting to update the baseline after you get a new phone

Final Thoughts

Spotting a hacked email isn’t about being a security expert. It’s about knowing what normal looks like and checking it regularly.

Spend 20 minutes this week building your baseline, then set one monthly reminder. If you ever feel a flicker of worry, you’ll have something real to compare against, instead of a vague hunch.