Gmail帳戶安全設定｜用SMS驗證極易被Hack？【附 3 大保命方法免失竊】

網路安全威脅日益升溫，連科技巨頭 Google 早前也罕見地對全球使用者發出緊急安全警告，提醒用戶需要即時升級帳號保護措施。Google 強調，駭客正積極針對使用者帳號試圖竊取安全憑證，而長久以來被廣泛使用的 簡訊（SMS）雙重身分驗證（2FA），已經成為駭客容易攻破的弱點！

Google 帳戶一旦被盜，Gmail、相片及雲端檔案都可能受影響。唔少人已經開啟 SMS 雙重驗證，以為收到一次性密碼就萬無一失；但驗證碼仍可能被假登入頁面騙走，電話號碼亦可能遭 SIM 卡交換攻擊。

Google 建議用家選擇更穩妥的登入方式，例如 Google 提示、驗證器，以及可抵擋一般釣魚網站的密碼金鑰。以下 ezone.hk 拆解三者分別，並教你檢查帳戶有沒有可疑登入。要強調的是：如果你目前只有 SMS 驗證，唔好未設定替代方法就匆忙關掉；有 SMS 雙重驗證，仍然比完全沒有好。

SMS驗證為何不夠穩妥？

SMS 驗證碼本身不是「一收就會被 Hack」，風險主要在於驗證碼依賴電話號碼，以及用家可能被騙得親手交出驗證碼。

• SIM卡交換：騙徒若成功冒認你向電訊商轉移電話號碼，可能接收到原本發給你的 SMS。
• 假登入頁面：用家在仿冒 Google 的網站輸入帳戶、密碼及一次性驗證碼，騙徒便可能即時拿去嘗試登入。
• 假客服索取驗證碼：有人自稱 Google 職員要求你讀出短訊數字，就算該 SMS 真的由 Google 發出，也絕不可交給對方。

Google提示、驗證器及Passkey點揀？

如果想容易上手，可先使用 Google 提示；如經常在沒有流動訊號的地方登入，可加設驗證器。想更有效防範假網站誘騙帳戶憑證，則可在自己的手機或電腦建立密碼金鑰。以上方法並非「防範所有攻擊」：若裝置本身失竊且遭人解鎖，或用家批准了不屬於自己的登入要求，帳戶仍可能有風險。

密碼金鑰亦不完全等同「原有方法會自動消失」。Google 指出，在帳戶新增密碼金鑰，不會自動移除現有驗證及帳戶救援方法；以密碼金鑰登入時，通常不需再輸入第二個驗證碼。

如何設定Passkey及兩步驟驗證？

1. 自行開啟 Google 帳戶，進入「安全性與登入」。不要由陌生 Email 或 SMS 的連結進入。
2. 在「登入 Google 的方式」查看兩步驟驗證是否已開啟，以及目前使用 SMS、Google 提示或驗證器。
3. 如要加設 Passkey，進入「密碼金鑰和安全金鑰」，按畫面指示在自己控制的裝置建立。
4. 確認 Google 提示或驗證器已可正常使用，再檢查電話號碼及帳戶救援資料。
5. 如使用備用碼，應另外保存在安全地方；不要截圖放在隨手可公開分享的相簿或傳給別人。

公司或學校的 Google Workspace 帳戶可能受管理員政策限制，選項未必與私人 Gmail 完全相同。設定後宜在自己熟悉的裝置試一次登入，再決定是否調整舊有方法，避免換機或遺失手機時無法進入帳戶。

收到「Google安全警告」Email點算？

最重要不是單靠寄件地址判斷真假。騙徒可以仿冒寄件名稱，亦可能將用家帶到看似可信的網站；相反，見到 Google 官方使用的寄件地址，也不代表可以不看內容就直接按連結。

若收到「帳戶即將停用」、「法院傳票」或「立即提供驗證碼」等催促字眼，先不要按訊息內連結、下載附件或回覆驗證碼。應自行開啟 Google 帳戶的安全設定，核對近期安全活動、登入裝置及第三方應用程式權限。

假如手機突然收到不是你發起的 Google 提示，請選擇拒絕；若已誤按批准、輸入驗證碼或密碼，應立即更改密碼、檢查帳戶裝置及安全設定，並處理任何不認識的登入工作階段。

3分鐘檢查Google帳戶安全

• 執行 Google「安全檢查」，查看近期警示及建議操作。
• 檢查「你的裝置」及登入工作階段，登出不認識或不再使用的裝置。
• 檢查備援電郵、電話號碼及第三方應用程式權限有沒有被改動。
• 確認自己至少有一種可用的穩妥登入方法，並妥善保存救援方式。

SMS 驗證不是一夜間「失效」，但若它是你唯一的防線，值得趁仍可正常登入時，逐步加設 Google 提示、驗證器或密碼金鑰。最容易出事的一步往往不是技術被破解，而是有人催你交出驗證碼或批准一個並非自己發起的登入。

Source：Google兩步驟驗證官方說明、Google密碼金鑰官方說明、Google帳戶安全檢查說明、ezone.hk

【熱門報道】