上回提要：老闆維基精選
守好公司保安，先可以放心發展生意。複習一下之前嘅實戰攻略：
一句話總結：微軟研究分析2023年Azure AD內可疑活動嘅帳戶，發現啟用雙重驗證MFA可以將帳戶被入侵嘅風險降低99.22%（密碼已經外洩嘅個案亦降低98.56%），而認證App嘅表現優於短訊驗證碼。不過HKCERT提醒，有「中間人」釣魚手法可以繞過MFA，所以中小企要優先用認證App，有條件再升級到硬件FIDO金鑰，並由電郵同財務帳戶開始保護。
更新日期：2026年10月
（以下「阿欣」同「阿俊」為根據常見情況虛構嘅示例人物，用以說明風險，並非真實個案，如有雷同純屬巧合。）
阿欣開咗間八個人嘅宣傳公司，公司電郵、雲端硬碟同社交媒體帳戶全部都只靠密碼。同事阿俊為咗方便，個公司電郵密碼同佢Netflix同網購帳戶用同一個。
一日，阿俊嗰個網購平台出咗資料外洩事件，密碼流咗出去。幾日後，客戶陸續收到「阿俊」寄出嘅電郵，要求核對一張新發票嘅付款資料，其實係騙徒用咗外洩嘅密碼直接登入咗阿俊嘅公司電郵。
「公司電郵只有一重保護，個密碼一泄露，騙徒就等於拎住大門鎖匙，連門都唔使撬。」
一、雙重驗證MFA係咩？一句講晒
MFA（Multi-Factor Authentication，多重驗證）嘅意思，係除咗密碼之外，登入時仲要多一重證明你係你，例如手機App生成嘅驗證碼、短訊收到嘅一次性密碼，或者實體保安金鑰。咁樣就算密碼被人偷走，騙徒冇你部手機或者金鑰，都唔容易登入。
香港有銀行早已經用緊相似概念（例如流動保安編碼），所以其實唔算陌生，只係公司電郵、雲端同會計系統，好多中小企仍然只用一重密碼。
二、MFA到底有幾有用？微軟研究數據
微軟研究院分析咗2023年Azure Active Directory內有可疑活動嘅帳戶，結論係：MFA令被入侵風險整體降低99.22%，喺密碼已經外洩嘅情況下亦降低98.56%；而且超過99.99%啟用MFA嘅帳戶，喺研究期間保持安全。
研究亦指出，Microsoft Authenticator呢類認證App嘅表現，優於短訊驗證碼，不過兩者都明顯好過完全冇MFA。
香港方面，HKCERT喺2025年11月嘅反釣魚提示列出10項建議，其中一項就係「啟用MFA」，指即使密碼被盜，MFA亦可以降低被入侵嘅成功率；HKCERT同時指出2024年香港釣魚攻擊上升108%，釣魚佔所有網絡安全事故62%以上。
三、MFA唔係萬能：點解仲有帳戶被入侵
HKCERT曾經發文警告，有一種「中間人」釣魚手法（Adversary-in-the-Middle），騙徒設置假網站同代理伺服器，你喺假網站輸入密碼同通過MFA驗證嘅同時，資料會被即時轉發到真網站，騙徒就可以擷取驗證資料，之後登入你嘅電郵帳戶。
HKCERT指出呢種攻擊自2021年9月起一直活躍，已經針對至少一萬個機構。不過HKCERT都強調，MFA對其他類型嘅攻擊仍然有效，大家依然應該啟用，只係唔好以為有MFA就萬無一失。
四、3種驗證方式點揀？
| 驗證方式 | 例子 | 強弱 | 適合場景 |
|---|---|---|---|
| 短訊驗證碼 | 手機收到6位數字 | 比冇MFA好好多，但表現不及認證App | 暫時冇其他選擇嘅服務 |
| 認證App | Microsoft Authenticator、Google Authenticator | 微軟研究顯示優於短訊 | 一般員工日常使用，中小企首選 |
| 硬件FIDO金鑰 | 實體保安金鑰 | HKCERT建議嘅進階方案，可以抵禦中間人釣魚 | 管理員、財務、老闆等高風險帳戶 |
金管局亦已經表明，銀行會逐步淘汰一次性密碼，改用應用程式認證等其他方法（2025年1月金管局副總裁阮國恒表示），反映業界都愈嚟愈傾向唔再單靠短訊。
五、中小企5步設定流程
第1步：由最重要嘅帳戶開始
先保護公司電郵（Microsoft 365或者Google Workspace）、網上銀行、會計同雲端系統，同埋有權限管理社交媒體專頁嘅管理員帳戶。呢幾類帳戶一旦失守，損失最大。
第2步：全公司強制啟用，唔好靠自覺
老闆或者管理員喺後台直接設定「必須啟用MFA」，唔好叫同事自己決定。因為騙徒淨係需要一個冇保護嘅帳戶，就可以入到嚟。
第3步：優先用認證App，少用短訊
按照微軟研究嘅結果，認證App比短訊更安全，所以建議全公司優先用認證App。
第4步：高風險帳戶升級到硬件金鑰
管理員同負責過數嘅財務同事，可以考慮用FIDO硬件金鑰，HKCERT建議嘅進階做法，可以減低被中間人釣魚繞過嘅風險。記得準備後備驗證方式，避免手機遺失後鎖死自己。
第5步：離職即時處理
員工離職嗰日，要即刻移除佢嘅帳戶同登記過嘅驗證裝置，詳細清單可以睇返離職檢查清單嗰篇。
阿欣出咗事之後，即日要求全公司啟用認證App，仲將財務同自己嘅帳戶升級到保安金鑰：「多一個步驟當然麻煩啲，不過同被人入咗電郵嘅損失比，呢啲麻煩算平。」
老闆維基語錄：
「密碼係門鎖，MFA係防盜鏈——兩樣都有，賊先會知難而退。」
常見問題
雙重驗證MFA同雙重認證2FA有咩分別？
2FA係MFA嘅一種，只用兩重驗證（例如密碼加驗證碼）；MFA則泛指兩重或以上嘅驗證。對一般中小企日常使用嚟講，兩者概念相同，重點係除咗密碼之外一定要有額外驗證。
短訊驗證碼夠唔夠用？
有總比冇好。微軟研究指出短訊同認證App都明顯優於冇MFA，但認證App表現較好。如果服務支援認證App，建議優先使用；有條件嘅話，管理員同財務帳戶可以再升級到硬件FIDO金鑰。
啟用MFA之後仲會唔會被入侵？
仍然有可能。HKCERT已經警告過「中間人」釣魚手法可以繞過MFA，所以仍然要小心檢查登入頁面網址，唔好隨便點擊可疑連結，並定期檢查電郵收件匣有冇出現未經設定嘅規則。
員工嘅手機遺失咗點算？
應該預先設定後備驗證方式，並由管理員喺後台即時撤銷該部手機嘅驗證資格，要求員工重新綁定新裝置。呢個流程亦要同離職處理一併寫入公司制度。
中小企一定要買硬件金鑰嗎？
唔一定。大部分員工用認證App已經可以大幅提升安全；硬件金鑰比較適合管理員、財務同老闆等高風險帳戶，成本亦相對可控。
來源及更新紀錄
資料來源：Microsoft Research《How effective is multifactor authentication at deterring cyberattacks?》；香港電腦保安事故協調中心（HKCERT）《繞過多重認證保護，盜用電郵帳號》及2025年11月反釣魚10項建議；香港金融管理局2025年1月有關逐步淘汰一次性密碼嘅公開講話（據傳媒報道）。文中「阿欣」同「阿俊」為根據常見情況虛構嘅示例人物，用以說明風險，並非真實個案。更新日期：2026年10月。
