跳转到内容
网络云居民

开任何账户前：密码管理器、双重验证与专用电邮

第 2 / 7 篇最后核实

本文仅供一般资讯参考，不构成财务、税务或法律建议；规则随时变动，请以官方最新公告为准。

准备远程开设境外银行、券商、支付 App 或加密货币账户的人，应在提交第一份申请前先用约半天完成这套设定：全程远程、不需任何证件，核心步骤用免费工具即可，只有实体安全密钥需要另购（可选）。关键是三件事：一个只用于金融账户的专用电邮、一个密码管理器，以及让每个重要账户至少有两种互相独立的登入或恢复方式，而不是全押在同一个手机号码上。以下官方建议与规则截至 2026 年 10 月。

关键事实

「关键事实」一节
项目 内容 来源
短讯作第二因素 「不要用 SMS 作为第二验证因素」：未加密、无法抵抗钓鱼；改用其他方式后须关闭短讯后备 美国 CISA 流动通讯指引 2.0 版（2025-11-24）
短讯的标准定位 属「受限制」（restricted）方式，服务方须另提供至少一种不受限制的选择 美国 NIST SP 800-63B-4
TOTP 验证器 标准建议预设每 30 秒换一组码；比短讯好，但仍可被钓鱼 RFC 6238、美国 CISA
通行密钥与实体密钥 FIDO 凭证，绑定特定网站或 App，抗钓鱼；实体 FIDO 密钥最有效，通行密钥是可接受的替代 FIDO 联盟、美国 CISA
Apple 账户安全密钥 须保留至少两个、最多六个；失去全部受信任装置和安全密钥，可能永久无法登入 Apple 支援
Google 备用码 每组 10 个，每个只能用一次；产生新一组后旧一组自动失效 Google 账户说明
密码长度与更换 对服务方的要求：单独使用的密码至少 15 个字符；不得强制定期更换；须容许使用密码管理器与自动填入 美国 NIST SP 800-63B-4
香港网上银行 对有手机银行 App 的客户，银行应预设以绑定装置（而非短讯 OTP）验证网上银行登入及高风险交易（落实期限 2025 年第四季）；新绑定或重新绑定装置应用人脸识别等严格方式 香港金管局（HKMA）2025-04-14 通函附件
SIM 换卡诈骗 2021 年收到 1,611 宗投诉，经调整损失逾 6,800 万美元 美国 FBI IC3 公告

为什么要在开第一个账户之前就设定好？

「为什么要在开第一个账户之前就设定好？」一节

开户时登记的电邮和手机号码，会成为机构日后重设密码和核实身份的依据。英国 NCSC 指出，犯罪者一旦进入你的电邮，就能重设你其他账户的密码。

事后更改也不容易：香港金管局（HKMA）要求银行在新绑定或重新绑定装置时用人脸识别等严格方式，而非只靠短讯 OTP；非香港身份证持有人等有困难的客户，银行可另作安排，以各银行公布为准。人在境外，换手机或换号码的代价更高。

短讯、TOTP、通行密钥和实体密钥差在哪里？

「短讯、TOTP、通行密钥和实体密钥差在哪里？」一节

四种双重验证方式比较：短讯验证码与验证器 App 不抗钓鱼，通行密钥与实体安全密钥抗钓鱼

上图由左至右，整体安全性递增；只有右边两种（FIDO 验证）属抗钓鱼。

短讯验证码（SMS OTP）

「短讯验证码（SMS OTP）」一节

最普遍，也最弱。美国 CISA（其指引主要针对高风险人士，但注明适用于所有人）指短讯未加密、无法抵抗钓鱼；美国 NIST 亦把它列为「受限制」方式。它还依赖电讯商：被换卡、境外收不到、预付卡过期，验证都会失效。

验证器 App（TOTP）

「验证器 App（TOTP）」一节

App 按时间生成验证码，不经电讯商，不怕换卡；但美国 CISA 提醒它虽比短讯好，仍可被钓鱼：假网站可把你输入的码即时转交真网站。Google Authenticator 登入 Google 账户后可同步验证码；不登入则码只存在该手机，换机时要在旧手机选「菜单」→「转移账户」→「汇出账户」（英文界面：Export accounts）产生 QR code，再在新手机用「汇入账户」（Import accounts）扫描；各地区界面用字略有不同。

通行密钥（Passkey）

「通行密钥（Passkey）」一节

FIDO 联盟说明，通行密钥是绑定特定网站或 App 账户的 FIDO 凭证，假网站拿不到可重用的秘密，因此抗钓鱼。它可在装置间同步，而美国 NIST 要求访问同步云端内的密钥时，须有相当于 AAL2 的多重验证保护；换言之，你的 Apple 或 Google 账户就是同步通行密钥的总钥匙，要最先加固。

实体安全密钥

「实体安全密钥」一节

插入或贴近电脑、手机使用的 FIDO 装置，密钥不离开装置，美国 CISA 认为这是最有效的方式。代价是要购买，且至少要两把：Apple 账户规定须保留至少两个安全密钥。

选择原则：电邮、密码管理器、Apple／Google 账户优先用通行密钥或实体密钥；只提供 TOTP 的用 TOTP；只提供短讯的才用短讯，并把该号码当作需要保活的资产。

为什么只靠一个手机号码收验证码是单点故障？

「为什么只靠一个手机号码收验证码是单点故障？」一节

单点故障与分层设计对比：一个手机号码连到所有账户，对比密码管理器、专用电邮、金融账户分层并配离线备用码

左边所有账户的验证和重设都依赖同一个号码；右边把风险分散到多把独立的钥匙。这个号码可能以三种方式出事：

  1. 被换卡（SIM swap）：美国 FBI IC3 指犯罪者针对电讯商下手，借此进入受害人的银行账户；2021 年相关投诉 1,611 宗，损失逾 6,800 万美元。
  2. 遗失或收不到：手机在旅途中遗失，或漫游时收不到短讯。
  3. 过期被回收：美国 FCC 指每年有数以百万计的号码被重新分配，前持有人会收不到金融机构等的通知。预付卡忘记充值同样可能失效，见香港预付 SIM 卡与 eSIM 基础。

降低风险的做法：

  • 向电讯商设定账户 PIN（如有提供）；美国 CISA 指转移号码等敏感操作会要求此 PIN，是对抗换卡的关键一步。
  • 不公开手机号码，也不在社交媒体透露所持的金融或加密资产（美国 FBI IC3 建议）；手机突然失去讯号，立即向电讯商查询。
  • 启用更强的验证方式后，如机构允许就关闭短讯后备，因为美国 CISA 指出加入验证器不会自动取消短讯。部分服务恢复账户时仍用短讯，号码依然要保活，见保号保户总表。

怎样从零建立安全底座？

「怎样从零建立安全底座？」一节
  1. 选定密码管理器：系统或浏览器内建、或独立产品皆可；英国 NCSC 认为在自己的装置上让浏览器储存密码是安全的，共用或公用装置则不要。主密码用长而随机的密码短语，并为管理器开启双重验证。
  2. 弄清管理器的恢复方式：英国 NCSC 指不少管理器提供恢复选项，例如安全的密码提示或经可信任联络人紧急访问；先在设定中确认你所用的一款支援哪种。如有恢复码一类的资料，印出存放在家中安全处。
  3. 开一个专用电邮：只用于金融及政府账户，不作订阅、社交或购物，也不公开；不要用工作或学校电邮，离职或毕业就可能失去。用自订网域的，网域过期后可能被他人注册并收到你的重设邮件。
  4. 为专用电邮和密码管理器加上至少两把「钥匙」：例如手机通行密钥加一把实体密钥。Google 账户可依次点选「安全性与登入」→「两步骤验证」→「备用码」→「取得备用码」，产生 10 个一次性备用码并打印。
  5. 设定 TOTP 并决定备份方式：同步到云端方便换机，但该云端账户须按第 4 步保护；不同步则换机前必须先导出。
  6. 加固手机号码：设定电讯商 PIN，记下号码有效期与充值要求。
  7. 之后每开一个账户：用专用电邮注册 → 由密码管理器产生随机密码 → 优先选通行密钥、App 绑定或 TOTP → 如允许，关闭短讯后备 → 保存备用码 → 更新账户清单。

账户清单应该记什么、放在哪里？

「账户清单应该记什么、放在哪里？」一节

账户一多，最常出事的是忘了哪个账户用什么验证方式、哪个号码要保活。每个账户建议记下：

  • 机构名称、国家或地区、官方网址与官方 App 名称
  • 登记电邮、登记手机号码、双重验证方式
  • 备用码的存放位置（只写位置，不写码本身）
  • 开户日期与保活要求（以该机构条款为准）
  • 通讯地址与住址分开记录；通讯地址不等于住址
  • 税务居民身份自我证明所填的国家，见 CRS 与 FATCA

清单放在密码管理器的加密笔记内，不要放在电邮草稿、传给自己的讯息或手机截图中。Google 建议把备用码存放在安全的地方（例如存放护照等重要文件之处），可打印保存；纸本与手机分开放，手机遗失时才用得上。

跨境账户持有人常遇到哪些钓鱼手法？

「跨境账户持有人常遇到哪些钓鱼手法？」一节
  • 「账户受限，请点连结补交资料」：香港金管局（HKMA）表示，银行不会透过短讯或电邮超连结引导客户进行交易，更不会经超连结索取登入密码或一次性密码，应自行输入网址、用书签或官方 App 登入。Wise 亦表明不会以电邮、短讯或电话索取密码、PIN、CVV 或 OTP。
  • 冒充税局退税：英国 HMRC 不会以短讯通知退税或索取个人及付款资料；美国 IRS 未经许可不会发电邮或短讯，也不透过社交媒体私讯联络。
  • 假客服要你念验证码或「转账配合调查」：Wise 表明不会要求你转账或批准交易来协助调查；遇到索取验证码的来电，挂线后自行拨打官方号码查证。
  • 假登入页即时转发验证码：以搜寻广告或相似网址引你登入，再即时盗用你输入的 TOTP 或短讯码；美国 CISA 指只有 FIDO 验证（通行密钥和实体密钥）抗钓鱼，能从机制上挡住。
  • 以为「#」号短讯一定可信：通讯办（OFCA）以「#」号标示已登记的短讯发送人，但只适用于在香港境内使用香港号码的用户，且建议无论有没有「#」号都要提高警惕。
  • 高价收购或「借用」账户：香港金管局（HKMA）警告出售或借出账户可能构成洗黑钱罪，最高刑罚为监禁 14 年及罚款 500 万港元。

还有哪些风险要注意？

「还有哪些风险要注意？」一节
  • 密码和 TOTP 同放一个密码管理器很方便（美国 CISA 提到部分管理器可生成验证码），但等于两个因素放进同一个保险箱；电邮和管理器本身至少要有一把独立的实体密钥或离线备用码。
  • 换手机前先查清每家银行的重新绑定流程，人在境外可能需要更多时间。
  • 安全设定不改变税务义务：境外金融账户资料可能按 CRS／FATCA 交换或申报，见 CRS 与 FATCA。

下一步

「下一步」一节

资料来源

「资料来源」一节

本站内容仅供一般资讯参考，不构成财务、税务或法律建议。 简体版由繁体版自动转换，如有用词差异以繁体版为准。 编辑政策与免责声明 · 关于本站