什麼是兩步驟驗證（2FA）？
兩步驟驗證（Two-Factor Authentication，簡稱 2FA）是在輸入密碼之後，再多一道驗證程序才能登入帳號。就算密碼被盜，沒有第二道驗證，駭客也進不去你的帳號。
為什麼需要 2FA？
根據 Google 的統計，啟用兩步驟驗證後，帳號被盜的風險可以降低 99% 以上。在台灣，2025 年個資外洩事件頻傳，許多人的帳號密碼早已在暗網上流通，只靠密碼已經不夠安全。
| 情境 | 只有密碼 | 密碼 + 2FA |
|---|---|---|
| 密碼被釣魚網站騙走 | 帳號馬上被盜 | 駭客沒有驗證碼，無法登入 |
| 資料庫外洩（密碼被拿到） | 帳號被嘗試登入 | 即使密碼正確也進不去 |
| 有人猜到你的密碼 | 直接登入你的帳號 | 被擋在第二道關卡 |
| 公用電腦忘記登出 | 其他人可以操作帳號 | 新裝置登入需要驗證 |
驗證方式有哪些？怎麼選？
目前主流的第二道驗證方式有以下幾種：
| 驗證方式 | 安全性 | 便利性 | 說明 |
|---|---|---|---|
| 簡訊驗證碼（SMS OTP） | 中等 | 高 | 收簡訊輸入驗證碼，最常見但可被 SIM 卡劫持 |
| 驗證器 APP（TOTP） | 高 | 高 | Google Authenticator、Microsoft Authenticator 等產生一次性驗證碼 |
| 通行金鑰（Passkey） | 最高 | 最高 | 用指紋或臉部辨識直接登入，不需輸入密碼 |
| 實體安全金鑰（FIDO2） | 最高 | 中等 | YubiKey 等硬體裝置，插入 USB 或 NFC 感應 |
| 備用碼（Recovery Code） | — | 低 | 一次性密碼，用於手機遺失時緊急登入 |
建議： 優先使用驗證器 APP 或通行金鑰，避免只依賴簡訊驗證碼。簡訊可能被攔截（SIM swap 攻擊），驗證器 APP 則完全在手機本機運作。
Google 帳號怎麼開啟兩步驟驗證？
Google 帳號是很多人的核心帳號（Gmail、YouTube、Google Drive），一旦被盜影響範圍很大，強烈建議開啟 2FA。
設定步驟：
- 開啟瀏覽器，前往 myaccount.google.com
- 點選左側的「安全性」
- 在「登入 Google」區塊找到「兩步驟驗證」，點選「開始使用」
- 輸入你的 Google 密碼確認身分
- 選擇驗證方式：
- Google 提示（推薦）：手機會跳出「是否為你本人登入？」的確認通知
- 驗證器應用程式：掃描 QR Code 綁定 Authenticator APP
- 簡訊或語音通話：輸入手機號碼接收驗證碼
- 完成設定後，務必點選「備用碼」→「顯示代碼」→ 截圖或抄寫保存
Google 通行金鑰（Passkey）設定：
2024 年起 Google 全面支援通行金鑰，設定後可以用指紋或臉部辨識直接登入，不需要再輸入密碼：
- 前往 myaccount.google.com/signinoptions/passkeys
- 點選「建立通行金鑰」
- 用手機或電腦的生物辨識（指紋/Face ID）完成設定
Apple ID 怎麼開啟雙重認證？
Apple 的「雙重認證」在新裝置登入 Apple ID 時，會在你已信任的裝置上顯示 6 位數驗證碼。
iPhone/iPad 設定步驟：
- 打開「設定」→ 點選最上方你的名字
- 點選「登入與安全性」→「雙重認證」
- 點選「開啟雙重認證」
- 輸入一個可接收簡訊的手機號碼作為備用
- 輸入收到的驗證碼完成設定
Mac 設定步驟：
- 點選蘋果選單 → 「系統設定」→ 點選你的名字
- 選擇「登入與安全性」→「雙重認證」→「開啟」
2026 年起，新申請的 Apple ID 預設已強制開啟雙重認證，無法關閉。
LINE 怎麼加強帳號安全？
LINE 是台灣使用率最高的通訊軟體，帳號被盜會被用來詐騙你的好友。
設定步驟：
- 打開 LINE → 點選「主頁」→ 右上角齒輪「設定」
- 點選「帳號」→「密碼」→ 設定一組強密碼
- 回到「帳號」→ 關閉「允許自其他裝置登入」（如果你不需要電腦版 LINE）
- 點選「帳號」→ 開啟「以電話號碼為您的帳號加上保護」
LINE 的生物辨識鎖定：
- 「設定」→「隱私設定」→ 開啟「密碼鎖定」
- 開啟後可以設定用 Face ID 或指紋解鎖 LINE
額外防護建議：
| 設定項目 | 建議 |
|---|---|
| 允許自其他裝置登入 | 不需要電腦版就關閉 |
| 允許使用 Letter Sealing | 保持開啟（端對端加密） |
| 過濾訊息 | 開啟（過濾非好友訊息） |
網路銀行和行動銀行怎麼設定 2FA？
台灣的銀行目前大多採用以下驗證方式：
| 銀行 | 驗證方式 | 說明 |
|---|---|---|
| 國泰世華 | CUBE APP 推播 + 生物辨識 | 交易時 APP 跳出確認通知 |
| 玉山銀行 | e.Fingo 行動確認 + OTP | 非約定轉帳需 APP 確認 |
| 中國信託 | Home Bank APP + FIDO 生物辨識 | 支援通行金鑰 |
| 台新銀行 | Richart APP 推播 + 簡訊 OTP | 雙重驗證機制 |
| 永豐銀行 | 行動銀行 APP + 生物辨識 | 支援指紋和臉部辨識 |
銀行 2FA 注意事項：
- 大部分銀行的非約定轉帳已強制要求 OTP 或 APP 確認
- 建議額外開啟「交易通知」，每筆交易即時收到 APP 推播或簡訊
- 不要在公用電腦操作網路銀行
- 銀行 APP 更新後記得重新確認生物辨識設定
驗證器 APP 怎麼選？
如果你決定使用驗證器 APP（TOTP），以下是常用工具的比較：
| 工具 | 平台 | 雲端備份 | 開源 | 費用 |
|---|---|---|---|---|
| Google Authenticator | iOS/Android | Google 帳號同步 | 否 | 免費 |
| Microsoft Authenticator | iOS/Android | Microsoft 帳號同步 | 否 | 免費 |
| Authy | iOS/Android/桌面 | 加密雲端備份 | 否 | 免費 |
| 2FAS | iOS/Android | iCloud/Google Drive 備份 | 是 | 免費 |
選擇建議：
- 怕麻煩的人：Google Authenticator（跟 Google 帳號整合最方便）
- 跨裝置同步：Authy 或 2FAS（換手機時不用重新設定每個帳號）
- 重視隱私：2FAS（開源，可自行審計程式碼）
備用碼和帳號救回方式
開啟 2FA 後最怕的就是手機遺失或損壞。提前準備好以下備份：
備用碼保存方法：
- 每個支援 2FA 的服務都會提供備用碼（Recovery Code），通常是 8-10 組一次性密碼
- 建議保存方式：
- 截圖存在密碼管理工具中
- 印出來放在保險箱或安全的地方
- 寫在紙上，跟手機分開保管
- 不要只存在手機裡（手機壞了就沒了）
手機遺失時的處理流程：
| 服務 | 救回方式 |
|---|---|
| 備用碼 → 或備用手機號碼 → 或帳號復原申請 | |
| Apple | 備用手機號碼 → 或 Apple 帳號復原流程（等待期 1-28 天） |
| LINE | 用電話號碼在新手機重新登入（聊天紀錄需有備份才能還原） |
| 銀行 | 攜帶雙證件到臨櫃辦理裝置重新綁定 |
常見問題
兩步驟驗證跟雙重認證一樣嗎？
基本上是同一件事。Google 叫「兩步驟驗證」、Apple 叫「雙重認證」、有些服務叫「多因素驗證（MFA）」，核心概念都一樣：除了密碼之外，再加一道驗證程序。技術上 MFA 涵蓋範圍更廣，但日常使用中這些名詞可以互通。
開啟 2FA 後每次登入都要驗證嗎？
不一定。大部分服務會在你的常用裝置上記住你，下次登入不需要再驗證。只有在新裝置、新瀏覽器、或長時間未登入時才會要求第二道驗證。銀行類服務通常每次交易都需要驗證。
簡訊驗證碼為什麼不夠安全？
簡訊可能被 SIM swap 攻擊攔截（駭客向電信公司謊稱你的 SIM 卡遺失，把號碼轉到他的卡上），也可能被惡意軟體在手機上攔截。雖然簡訊驗證比沒有 2FA 安全很多，但如果可以選擇，用驗證器 APP 或通行金鑰更好。
我不太懂科技，2FA 會不會很複雜？
不會。以 Google 為例，設定只需要 5 分鐘。設定完之後，日常使用幾乎感覺不到差別，因為你的手機會被設為信任裝置，只有在新裝置登入時才需要多一步驗證。如果擔心麻煩，可以先從最重要的帳號（Email、銀行）開始設定。