Skip to content
Net Residents

開任何帳戶前：密碼管理器、雙重驗證與專用電郵

第 2 / 7 篇最後核實

本文僅供一般資訊參考，不構成財務、稅務或法律建議；規則隨時變動，請以官方最新公告為準。

This content is not available in your language yet.

準備遠端開設境外銀行、券商、支付 App 或加密貨幣帳戶的人，應在提交第一份申請前先用約半天完成這套設定：全程遠端、不需任何證件，核心步驟用免費工具即可，只有實體安全密鑰需要另購（可選）。關鍵是三件事：一個只用於金融帳戶的專用電郵、一個密碼管理器，以及讓每個重要帳戶至少有兩種互相獨立的登入或恢復方式，而不是全押在同一個手機號碼上。以下官方建議與規則截至 2026 年 10 月。

關鍵事實

「關鍵事實」一節
項目 內容 來源
短訊作第二因素 「不要用 SMS 作為第二驗證因素」：未加密、無法抵抗釣魚；改用其他方式後須關閉短訊後備 美國 CISA 流動通訊指引 2.0 版（2025-11-24）
短訊的標準定位 屬「受限制」（restricted）方式，服務方須另提供至少一種不受限制的選擇 美國 NIST SP 800-63B-4
TOTP 驗證器 標準建議預設每 30 秒換一組碼；比短訊好，但仍可被釣魚 RFC 6238、美國 CISA
通行密鑰與實體密鑰 FIDO 憑證，綁定特定網站或 App，抗釣魚；實體 FIDO 密鑰最有效，通行密鑰是可接受的替代 FIDO 聯盟、美國 CISA
Apple 帳戶安全密鑰 須保留至少兩個、最多六個；失去全部受信任裝置和安全密鑰，可能永久無法登入 Apple 支援
Google 備用碼 每組 10 個，每個只能用一次；產生新一組後舊一組自動失效 Google 帳戶說明
密碼長度與更換 對服務方的要求：單獨使用的密碼至少 15 個字元；不得強制定期更換；須容許使用密碼管理器與自動填入 美國 NIST SP 800-63B-4
香港網上銀行 對有手機銀行 App 的客戶，銀行應預設以綁定裝置（而非短訊 OTP）驗證網上銀行登入及高風險交易（落實期限 2025 年第四季）；新綁定或重新綁定裝置應用人臉識別等嚴格方式 香港金管局（HKMA）2025-04-14 通函附件
SIM 換卡詐騙 2021 年收到 1,611 宗投訴，經調整損失逾 6,800 萬美元 美國 FBI IC3 公告

為甚麼要在開第一個帳戶之前就設定好？

「為甚麼要在開第一個帳戶之前就設定好？」一節

開戶時登記的電郵和手機號碼，會成為機構日後重設密碼和核實身份的依據。英國 NCSC 指出，犯罪者一旦進入你的電郵，就能重設你其他帳戶的密碼。

事後更改也不容易：香港金管局（HKMA）要求銀行在新綁定或重新綁定裝置時用人臉識別等嚴格方式，而非只靠短訊 OTP；非香港身份證持有人等有困難的客戶，銀行可另作安排，以各銀行公布為準。人在境外，換手機或換號碼的代價更高。

短訊、TOTP、通行密鑰和實體密鑰差在哪裡？

「短訊、TOTP、通行密鑰和實體密鑰差在哪裡？」一節

四種雙重驗證方式比較：短訊驗證碼與驗證器 App 不抗釣魚，通行密鑰與實體安全密鑰抗釣魚

上圖由左至右，整體安全性遞增；只有右邊兩種（FIDO 驗證）屬抗釣魚。

短訊驗證碼（SMS OTP）

「短訊驗證碼（SMS OTP）」一節

最普遍，也最弱。美國 CISA（其指引主要針對高風險人士，但註明適用於所有人）指短訊未加密、無法抵抗釣魚；美國 NIST 亦把它列為「受限制」方式。它還依賴電訊商：被換卡、境外收不到、預付卡過期，驗證都會失效。

驗證器 App（TOTP）

「驗證器 App（TOTP）」一節

App 按時間生成驗證碼，不經電訊商，不怕換卡；但美國 CISA 提醒它雖比短訊好，仍可被釣魚：假網站可把你輸入的碼即時轉交真網站。Google Authenticator 登入 Google 帳戶後可同步驗證碼；不登入則碼只存在該手機，換機時要在舊手機選「選單」→「轉移帳戶」→「匯出帳戶」（英文介面：Export accounts）產生 QR code，再在新手機用「匯入帳戶」（Import accounts）掃描；各地區介面用字略有不同。

通行密鑰（Passkey）

「通行密鑰（Passkey）」一節

FIDO 聯盟說明，通行密鑰是綁定特定網站或 App 帳戶的 FIDO 憑證，假網站拿不到可重用的秘密，因此抗釣魚。它可在裝置間同步，而美國 NIST 要求存取同步雲端內的密鑰時，須有相當於 AAL2 的多重驗證保護；換言之，你的 Apple 或 Google 帳戶就是同步通行密鑰的總鑰匙，要最先加固。

實體安全密鑰

「實體安全密鑰」一節

插入或貼近電腦、手機使用的 FIDO 裝置，密鑰不離開裝置，美國 CISA 認為這是最有效的方式。代價是要購買，且至少要兩把：Apple 帳戶規定須保留至少兩個安全密鑰。

選擇原則：電郵、密碼管理器、Apple／Google 帳戶優先用通行密鑰或實體密鑰；只提供 TOTP 的用 TOTP；只提供短訊的才用短訊，並把該號碼當作需要保活的資產。

為甚麼只靠一個手機號碼收驗證碼是單點故障？

「為甚麼只靠一個手機號碼收驗證碼是單點故障？」一節

單點故障與分層設計對比：一個手機號碼連到所有帳戶，對比密碼管理器、專用電郵、金融帳戶分層並配離線備用碼

左邊所有帳戶的驗證和重設都依賴同一個號碼；右邊把風險分散到多把獨立的鑰匙。這個號碼可能以三種方式出事：

  1. 被換卡（SIM swap）：美國 FBI IC3 指犯罪者針對電訊商下手，藉此進入受害人的銀行帳戶；2021 年相關投訴 1,611 宗，損失逾 6,800 萬美元。
  2. 遺失或收不到：手機在旅途中遺失，或漫遊時收不到短訊。
  3. 過期被回收：美國 FCC 指每年有數以百萬計的號碼被重新分配，前持有人會收不到金融機構等的通知。預付卡忘記增值同樣可能失效，見香港預付 SIM 卡與 eSIM 基礎。

降低風險的做法：

  • 向電訊商設定帳戶 PIN（如有提供）；美國 CISA 指轉移號碼等敏感操作會要求此 PIN，是對抗換卡的關鍵一步。
  • 不公開手機號碼，也不在社交媒體透露所持的金融或加密資產（美國 FBI IC3 建議）；手機突然失去訊號，立即向電訊商查詢。
  • 啟用更強的驗證方式後，如機構允許就關閉短訊後備，因為美國 CISA 指出加入驗證器不會自動取消短訊。部分服務恢復帳戶時仍用短訊，號碼依然要保活，見保號保戶總表。

怎樣從零建立安全底座？

「怎樣從零建立安全底座？」一節
  1. 選定密碼管理器：系統或瀏覽器內建、或獨立產品皆可；英國 NCSC 認為在自己的裝置上讓瀏覽器儲存密碼是安全的，共用或公用裝置則不要。主密碼用長而隨機的密碼短語，並為管理器開啟雙重驗證。
  2. 弄清管理器的恢復方式：英國 NCSC 指不少管理器提供恢復選項，例如安全的密碼提示或經可信任聯絡人緊急存取；先在設定中確認你所用的一款支援哪種。如有恢復碼一類的資料，印出存放在家中安全處。
  3. 開一個專用電郵：只用於金融及政府帳戶，不作訂閱、社交或購物，也不公開；不要用工作或學校電郵，離職或畢業就可能失去。用自訂網域的，網域過期後可能被他人註冊並收到你的重設郵件。
  4. 為專用電郵和密碼管理器加上至少兩把「鑰匙」：例如手機通行密鑰加一把實體密鑰。Google 帳戶可依次點選「安全性與登入」→「兩步驟驗證」→「備用碼」→「取得備用碼」，產生 10 個一次性備用碼並列印。
  5. 設定 TOTP 並決定備份方式：同步到雲端方便換機，但該雲端帳戶須按第 4 步保護；不同步則換機前必須先導出。
  6. 加固手機號碼：設定電訊商 PIN，記下號碼有效期與增值要求。
  7. 之後每開一個帳戶：用專用電郵註冊 → 由密碼管理器產生隨機密碼 → 優先選通行密鑰、App 綁定或 TOTP → 如允許，關閉短訊後備 → 保存備用碼 → 更新帳戶清單。

帳戶清單應該記甚麼、放在哪裡？

「帳戶清單應該記甚麼、放在哪裡？」一節

帳戶一多，最常出事的是忘了哪個帳戶用甚麼驗證方式、哪個號碼要保活。每個帳戶建議記下：

  • 機構名稱、國家或地區、官方網址與官方 App 名稱
  • 登記電郵、登記手機號碼、雙重驗證方式
  • 備用碼的存放位置（只寫位置，不寫碼本身）
  • 開戶日期與保活要求（以該機構條款為準）
  • 通訊地址與住址分開記錄；通訊地址不等於住址
  • 稅務居民身份自我證明所填的國家，見 CRS 與 FATCA

清單放在密碼管理器的加密筆記內，不要放在電郵草稿、傳給自己的訊息或手機截圖中。Google 建議把備用碼存放在安全的地方（例如存放護照等重要文件之處），可列印保存；紙本與手機分開放，手機遺失時才用得上。

跨境帳戶持有人常遇到哪些釣魚手法？

「跨境帳戶持有人常遇到哪些釣魚手法？」一節
  • 「帳戶受限，請點連結補交資料」：香港金管局（HKMA）表示，銀行不會透過短訊或電郵超連結引導客戶進行交易，更不會經超連結索取登入密碼或一次性密碼，應自行輸入網址、用書籤或官方 App 登入。Wise 亦表明不會以電郵、短訊或電話索取密碼、PIN、CVV 或 OTP。
  • 冒充稅局退稅：英國 HMRC 不會以短訊通知退稅或索取個人及付款資料；美國 IRS 未經許可不會發電郵或短訊，也不透過社交媒體私訊聯絡。
  • 假客服要你念驗證碼或「轉帳配合調查」：Wise 表明不會要求你轉帳或批准交易來協助調查；遇到索取驗證碼的來電，掛線後自行撥打官方號碼查證。
  • 假登入頁即時轉發驗證碼：以搜尋廣告或相似網址引你登入，再即時盜用你輸入的 TOTP 或短訊碼；美國 CISA 指只有 FIDO 驗證（通行密鑰和實體密鑰）抗釣魚，能從機制上擋住。
  • 以為「#」號短訊一定可信：通訊辦（OFCA）以「#」號標示已登記的短訊發送人，但只適用於在香港境內使用香港號碼的用戶，且建議無論有沒有「#」號都要提高警惕。
  • 高價收購或「借用」帳戶：香港金管局（HKMA）警告出售或借出帳戶可能構成洗黑錢罪，最高刑罰為監禁 14 年及罰款 500 萬港元。

還有哪些風險要注意？

「還有哪些風險要注意？」一節
  • 密碼和 TOTP 同放一個密碼管理器很方便（美國 CISA 提到部分管理器可生成驗證碼），但等於兩個因素放進同一個保險箱；電郵和管理器本身至少要有一把獨立的實體密鑰或離線備用碼。
  • 換手機前先查清每家銀行的重新綁定流程，人在境外可能需要更多時間。
  • 安全設定不改變稅務義務：境外金融帳戶資料可能按 CRS／FATCA 交換或申報，見 CRS 與 FATCA。

下一步

「下一步」一節

資料來源

「資料來源」一節

General information only; not financial, tax or legal advice. Editorial policy & disclaimer · About