有人傳來一個短碼，說到官方登入頁輸入後，就能查看文件、加入會議或完成帳戶核對。網址可能確實屬於服務商，但這仍不足以證明整個流程安全。你需要確認的不只是「在哪裡登入」，還有「正在替誰批准哪一次存取」。
近期指引更新了什麼？
香港電腦保安事故協調中心（HKCERT）的OAuth 風險說明原於 2026 年 6 月 17 日發布，10 月 16 日更新。文件提醒，裝置碼釣魚可利用合法登入流程取得存取憑證，而不一定要建立假登入頁或直接偷取密碼。這是既有攻擊方式的更新指引，不是本文發現某個平台今天遭到入侵。
Microsoft 在2026 年 4 月 6 日的第一手研究中亦解釋：裝置碼登入原本方便電視等不易輸入資料的裝置；攻擊者若先發起請求，再誘導受害者輸入其提供的碼，受害者可能批准的是攻擊者的工作階段。該研究針對組織帳戶案例，不代表所有個人帳戶或娛樂網站都受到同一活動影響。
短碼相似，批准的事情卻可能不同
一次性驗證碼通常用來確認某次登入或操作；裝置碼則可把另一部裝置或應用程式的登入請求，交到你目前的瀏覽器完成。兩者都可能很短，不能只憑位數、字母或有效時間判斷用途。應以官方畫面說明與你自己發起的操作為準。
例如，你正在設定自己的電視，電視畫面顯示一個碼，與陌生聊天訊息突然給你一個「查看文件用」的碼，來源脈絡並不相同。這只是核對情境，不表示只要碼出現在裝置上就必定安全；仍要確認裝置、應用程式及帳戶都符合你的預期。
另一類畫面是應用程式授權，詢問是否讓某個服務讀取電郵、文件或其他資料。它與單純登入網站不是同一件事。看到熟悉的登入標誌，不應跳過後續權限清單；應用程式的名稱也不是信任證明，還要核對提供者與使用目的。
按確認前，先回答四個問題
這是我自己發起的操作嗎？ 回想你原本要做的事。若只是閱讀訊息或查詢付款狀態，卻突然要替另一個應用程式完成登入，就先取消，從自己已知的官方入口核實，不沿原訊息繼續。
這個碼從哪裡來？ 不要把客服、群組或電郵傳來的短碼，直接搬進帳戶的驗證頁。應能把它對應到你正在使用、已確認的裝置或應用程式；對方催促「快到期了」並不能補足這項核對。
畫面說正在登入或授權什麼？ 看清楚帳戶、應用程式、服務提供者及可見的裝置資訊。顯示的名稱若與原本目的不符，或無法解釋為何要批准，就停止。不要為了完成文件預覽而反覆按同意。
要求的資料是否超出需要？ 將「想完成的功能」與「對方要求的權限」分開看。若一個簡單功能要求大量不相關資料，先查官方說明；沒有清楚理由時，不因為畫面是真的便批准。
這四問是協助辨認不合理流程的方法，不保證排除所有攻擊。帳戶有多重驗證仍值得保留，但不能把它理解成每一次授權都已由服務商替你判斷目的是否合理。
已經確認過，要分開查登入與授權
先停止原來的流程，記錄發生時間、訊息來源、畫面上的應用程式名稱，以及自己實際按過的步驟。只輸入過碼、已完成登入、已同意資料存取，處理需要並不完全相同。不要為了重現畫面再次批准。
接著，從可信任裝置自行開啟帳戶官方安全設定，分別檢查最近登入、工作階段與已連結的應用程式。登出一個瀏覽器，不等於已檢查所有應用程式存取權；同樣地，移除某個連結，也不應直接當成整個帳戶已完成事故處理。
以 Google 帳戶為例，官方第三方連結管理說明區分「使用 Google 帳戶登入」、已連結帳戶，以及應用程式對 Google 資料的存取權。應查看個別連結的詳細資料，針對不認識或不再需要的資料存取權作處理；移除可能令相關功能停用。停用第三方登入亦不等於刪除該應用程式內的資料。這是 Google 的操作說明，不能把選單名稱直接套到其他服務。
若涉及公司或學校帳戶，立即通知負責的資訊人員，說明你可能批准了非本人發起的裝置碼登入。Microsoft 上述研究把撤銷憑證及帳戶控制列為組織事件處理的一部分；個人不要照網上指令自行執行管理工具，也不要假設更改密碼或關閉頁面就能立即終止所有存取。
求助時保留線索，不交出通行憑證
向已核實的官方支援提供時間、相關帳戶、應用程式名稱和必要截圖即可；遮住密碼、一次性驗證碼、裝置碼、復原碼及任何存取憑證。不要把含有私密參數的完整登入網址公開貼到社群，也不要讓陌生人遠端接管裝置「代為撤銷」。
若另有陌生登入、復原資料遭修改或疑似資料外洩，可配合本站的登入安全檢查清單繼續整理。本文沒有判定 28BET 使用特定第三方登入方式或發生相關事故；重點是協助讀者保護日常電郵、雲端文件與其他重要帳戶。
真正需要記住的是：官方頁面可以證明登入頁的來源，卻不能替你回答「這次操作是不是我想做的」。看清誰發起、登入哪個應用程式及准許什麼，比只辨認品牌標誌多一道必要的核對。
本文由 AI 輔助整理，資料核對日期：2026-10-20；請以所列官方來源的最新資訊為準。