（台泰時報11月1日電）隨著人工智慧（AI）技術發展，網路釣魚與帳號盜用手法日益複雜，英國國家網路安全中心（NCSC）建議民眾優先使用通行金鑰（Passkey）登入支援此技術的網站及應用程式，以降低密碼與一次性驗證碼（OTP）遭竊取的風險。對於尚未支援通行金鑰的服務，則應繼續啟用雙步驟驗證，維持基本帳號防護。

英國國家網路安全中心在蘇格蘭格拉斯哥舉行的CYBERUK 2026會議中提出相關建議，認為傳統密碼即使搭配雙重驗證，仍可能受到網路釣魚攻擊，無法完全阻止犯罪者取得帳號存取權限。

通行金鑰是一種無密碼登入技術，使用者可透過手機或電腦的臉部辨識、指紋驗證或裝置PIN碼完成身分確認，無須每次輸入帳號密碼與簡訊驗證碼。

其核心採用FIDO2公開金鑰密碼技術，系統建立公鑰及私鑰兩組相互對應的數位金鑰。公鑰由網站保存，私鑰則安全儲存在使用者裝置或通行金鑰管理系統中。

登入時，網站利用公鑰驗證使用者裝置以私鑰產生的數位簽章，不需要傳送可重複使用的密碼，因此能降低登入資料在傳輸或網站資料外洩事件中遭竊的風險。

傳統雙步驟驗證則可能受到假網站攻擊。詐騙者可仿冒銀行登入頁面，引導使用者輸入帳號、密碼及OTP，再立即將資料轉送至真正的銀行網站，藉此嘗試登入受害者帳戶。

通行金鑰的優勢，在於驗證程序與真正網站的網域綁定。即使使用者進入仿冒網站，攻擊者也難以透過相同方式取得可用於真正網站的登入憑證。

不過，英國國家網路安全中心提醒，通行金鑰並不代表帳號安全獲得百分之百保障。使用者仍須保護手機、電腦及同步金鑰的主要帳號，避免裝置遭入侵或帳號復原程序被濫用。

在個人金融安全方面，除了加強登入驗證，也可將日常消費帳戶與主要儲蓄帳戶分開管理，限制經常交易帳戶可動用的資金，降低單一帳戶遭入侵時可能造成的損失。

同時，民眾應避免不同帳戶共用密碼，並檢查帳號復原設定與備援驗證方式，防止攻擊者透過其他管道繞過正常登入程序。

英國國家網路安全中心強調，具備通行金鑰功能的服務應優先採用此技術，尚未支援的網站仍應使用雙步驟驗證。兩種方式的選擇須依服務支援情況而定，並搭配裝置安全管理，才能有效降低帳號遭盜用的風險。

圖片來源：Bangkok Biz