登入時多做一次驗證，通常比只用密碼安全；但「有驗證碼」不等於「能抵抗釣魚」。偽冒網站可以一邊要求使用者輸入密碼與一次性驗證碼，一邊把資料即時轉交真正網站。Passkey 的設計重點，則是讓登入憑證與正確網域建立技術上的關聯，減少使用者把秘密交給假網站的機會。
香港電腦保安事故協調中心在 2026 年 11 月 5 日發布的第三季香港網絡保安事故統計顯示，該季共處理 4,404 宗事故，較去年同期增加約 15%；其中 2,672 宗為釣魚，約佔 61%。釣魚目標以社交媒體與即時通訊佔比最高，其次是銀行、金融及電子支付。數字反映攻擊者仍集中冒充日常登入與付款服務，因此了解各種驗證方式的差別，比單純追求多一個登入步驟更實際。
驗證碼為甚麼不等於抗釣魚
SMS 短訊碼、電郵碼及驗證器產生的一次性密碼，都能阻止只偷到密碼的人直接登入。不過，這些方法通常需要把數字手動輸入網頁；如果使用者身處假網站，攻擊者可以在代碼失效前把它轉交真正網站。
美國國家標準與技術研究院的數位身分驗證器指引明確指出，手動輸入的一次性密碼及帶外驗證輸出不具抗釣魚能力，因為冒充驗證方可把資料轉交真正服務。這不代表驗證碼沒有價值，而是它主要補強密碼失竊風險，不能單獨解決假網域與即時轉交攻擊。
Passkey 如何把登入綁定正確網站
Passkey 採用公開金鑰驗證。註冊時，裝置為特定服務建立一組憑證：服務保存可公開的部分，登入所需的私密部分則由使用者的裝置或其受保護的憑證服務管理。登入時，瀏覽器及系統會依目前網域決定能否使用相符憑證；偽冒網域不能直接取得真正網站的 Passkey。
NIST 指引把這種機制稱為「驗證方名稱綁定」，並以 WebAuthn／FIDO2 作為實現例子。這項設計把部分判斷交由瀏覽器和密碼系統執行，不再完全依賴使用者從相似字母、短網址或搜尋廣告中辨認真假。
不過，Passkey 並非保證帳戶永不失守。已解鎖裝置被他人控制、瀏覽器工作階段被竊取、帳戶復原流程過弱，或服務仍保留容易被釣魚的舊登入入口，都可能形成其他風險。它針對的是憑證釣魚這個重要環節，而不是取代裝置安全與異常登入管理。
啟用前先檢查四項設定
- 裝置範圍：先確認日常手機、電腦與瀏覽器是否支援，並了解 Passkey 是只存在單一安全金鑰或裝置，還是透過指定帳戶同步。
- 備援登入：至少保留一個自己控制的可靠備援方式，例如第二部受信任裝置或硬件安全金鑰。不要在唯一登入方式尚未測試前，貿然移除全部復原選項。
- 復原規則：查看遺失手機後需要哪些證明、是否有等待期，以及客服能否繞過原有驗證。復原流程若只靠容易取得的個人資料，仍可能成為弱點。
- 憑證清單：完成設定後，檢查帳戶內的 Passkey、裝置名稱、建立日期及最近活動；移除不認識或不再使用的項目。
美國網絡安全和基礎設施安全局在流動通訊最佳實務中建議採用 FIDO 抗釣魚驗證，並把硬件安全金鑰列為最強選項、Passkey 列為可接受選項；同一文件亦提醒 SMS 多因素驗證不具抗釣魚能力。選擇時應配合自己的裝置、備援及復原需要，而不是只看登入畫面是否方便。
收到登入提示時仍要核對
即使帳戶已使用 Passkey，陌生通知或 QR Code 仍不應直接操作。攻擊者可能誘導使用者啟動真正的授權流程，再利用急迫語氣催促確認。較穩妥的做法是：
- 只批准自己剛剛主動開始的登入，不確認來歷不明的彈窗或推播；
- 自行輸入官方網址、使用已安裝的官方應用程式或可信書籤，不從訊息內連結登入；
- 核對螢幕顯示的網域、帳戶及裝置，不掃描陌生人提供的登入 QR Code；
- 若畫面要求輸入 Passkey、復原碼或安全金鑰產生的秘密文字，立即停止並改由官方入口查證。
可配合裝置代碼與授權釣魚核對方法，辨認「請到真正網站輸入代碼」這類利用合法流程的社交工程。
舊密碼與 SMS 備援可能留下缺口
新增 Passkey 後，帳戶未必自動停用密碼、SMS 或電郵復原。攻擊者通常會尋找最弱入口，而不是正面破解 Passkey。應在完成備援測試後，查看能否移除不用的舊密碼、陌生電話號碼、過期電郵及不再使用的裝置；無法移除時，至少為舊入口使用獨立密碼、登入通知及嚴格復原設定。
任何自稱客服的人若要求提供驗證碼、復原碼、密碼或遙距控制裝置，都應停止對話，再透過公開官方渠道聯絡。美國 NIST 的釣魚防護指南亦建議不要使用可疑訊息所附的聯絡資料，而要改用已知官方電話或網站核實。
帳戶出現異常怎麼辦
先使用可信裝置直接前往官方網站，登出其他工作階段並移除不認識的 Passkey、裝置或復原資料。若帳戶仍有密碼，改成未曾重用的新密碼；同時保留異常登入時間、通知、網址及截圖，再向官方支援查詢。若收件電郵也可能失守，先處理電郵帳戶，因為多數復原連結會送到該處。
處理順序可參考資料外洩後的帳戶安全檢查表；若同時收到電話、短訊或付款催促，則使用跨渠道釣魚核對清單，把每個渠道分開驗證。
Passkey 的實際價值，不是讓使用者可以忽略所有登入風險，而是把「是否身處正確網站」納入憑證驗證。配合可靠備援、定期清理舊入口，以及只批准自己主動發起的登入，才能把抗釣魚能力落實到完整帳戶流程。
本文由 AI 輔助整理，資料核對日期：2026-11-12；請以所列官方來源的最新資訊為準。