燒滾滾

資料一定會外洩，所以你要先做的五件事

閱讀時間約 18 分鐘

日本三家零售業外洩 6,800 萬件之後的週六追加：不點連結、開雙重驗證、開刷卡通知、密碼不重複、記得更新，五件今天就能做完的事，附一支看了就會操作的解說影片。

週六追加。

我請Sophia直接製作一支解說影片，將以下幾個你現在就能做的資安防護進行講解，趁著假日，大家都可以檢查一下電腦、手機的更新，以及最好社群帳號、Google帳號都把雙重驗證打開。

🔹 第一，預設你的資料已經外洩

第一，預設所有的訂單、所有的資料，都有可能外洩。外洩也分很多種。我查到，有些網站被偷走的是訂單編號，信用卡只有部分；有些連你的姓名都沒拿到。

只要接到「你的訂單異常」、要你取消分期、說你之前被設定成分期付款這類的，一律不要管。直接回你當初購買的品牌網站，或用 LINE、社群直接問對方，不要點信裡的連結。有連結千萬不要點，點過去，很可能就是入侵、詐騙的開始。家裡的長輩也一樣，跟他說：有問題，打電話回來問就好，完全不要點那個連結。

☑️查核 ➊刑事警察局 2026 年 10 月 15 日公告，把這類手法歸為「假消費異常」：歹徒假冒業者客服，用「工作人員操作錯誤、誤設分期付款、連續扣款、誤設會員等級」等話術騙取銀行資料，再假冒銀行人員要民眾操作 ATM、網銀匯款或買遊戲點數來「解除設定」。 ➋2026 年 1 月到 2 月，165 打詐儀錶板統計的網路購物詐騙報案共 6,735 件。 ➌遇到可疑狀況，可以撥 165 反詐騙諮詢專線，用市話撥打不用付通話費。

＝＝＝

🔹 第二，雙重驗證一定要開

第二，雙重驗證一定要開。這已經是這個時代的基本。雙重驗證的意思是，就算對方拿到你的帳號密碼，登入時還需要第三方的驗證工具。像銀行，你刷卡時會收到簡訊，輸入那幾個數字，這就是雙重驗證。

用 Mac、用 iPhone 的人，登入網站時現在都會問你要不要建立通行密鑰，也就是 passkey。我建議建立。它後面有一套機制，你用 Touch ID 或 Face ID 就能解鎖，而且在蘋果的系統裡通用。我覺得這個方式比較好。

☑️查核 ➊微軟官方文件（2026 年 4 月）：多重驗證可以擋下超過 99.2% 的帳號入侵攻擊。數字出自微軟 2023 年的研究，對象是企業帳號。 ➋通行密鑰為什麼防得了假網站：它只會交給當初註冊的那個網站，使用者沒辦法不小心把它輸入到攻擊者的網站上（FIDO 聯盟說明）。 ➌簡訊驗證碼是最基本的一種，但也最容易被搶走。美國國家標準與技術研究院（NIST）把經電話網路傳送的驗證碼列為「受限」的驗證方式；美國網路安全暨基礎設施安全局（CISA）也建議不要用簡訊當第二道驗證。數發部提醒：簡訊驗證碼等同你的網路身分證或提款密碼，不要提供給任何人。

＝＝＝

🔹 第三，信用卡通知要開

第三，信用卡的 App。信用卡不要辦那麼多張，自己記得旅行刷哪一張、購物刷哪一張，然後一定要開那張卡的 App 或 LINE 通知。一刷卡就會通知你，你至少知道對不對得上。不要等每個月帳單寄來、要繳錢了，才一筆一筆對。現在很多是即時被盜刷你卻不知道，或是自動續費、訂閱沒告訴你，等繳錢時才發現。這個一定要看。

☑️查核 ➊金管會的信用卡定型化契約範本：掛失前被冒用，持卡人的自負額上限是新台幣 3,000 元（各銀行在這個上限內自己約定）；掛失前 24 小時內被冒用的，持卡人不用負擔。掛失之後被冒用的損失，由銀行負擔。 ➋例外：拖太久才通知（當期繳款截止日起超過 20 天）、卡片背面沒簽名等，銀行能證明自己沒有疏失的，就不適用。用 ATM 預借現金被冒用的部分，掛失前的損失由持卡人負擔。 ➌換句話說，通知開著、越早發現越早掛失，損失越少。

＝＝＝

🔹 第四，每個網站用不同的密碼

第四，不要所有網站都用同一組密碼，尤其是 12345、54321，或你的生日、身分證字號，千千萬萬拜託不要用。現在有很多密碼管理工具，Google、Safari、Mac 都有，可以幫你建立高強度密碼，你只要記得管理那個工具的密碼就好。

用 Mac 的人，如果有訂閱 iCloud+，註冊網站時有一個「隱藏電子郵件地址」，可以幫你生成一個假的電子郵件，專門給那些網站註冊用，但信你還是收得到。這是很不錯的功能，有用 iPhone、Mac 的，建議用。

但最後、最後、最重要的那幾組密碼，銀行的、Google 的、Apple ID 的、Facebook 的，最好還是用一個本子、一支筆記下來，放在書桌的盒子裡或哪裡都好。這是最後一道防線，也還是最好的方法。

☑️查核 ➊密碼要什麼時候換？NIST 2025 年定稿的數位身分指引寫明：不得要求使用者定期換密碼；有證據顯示密碼外洩時，才必須強制更換。也不再要求大小寫、符號混搭，改要求長度：只用密碼登入的，至少 15 個字元。 ➋Apple 的「密碼」App 從 iOS 18、macOS Sequoia 起提供，你的密碼出現在已知的外洩事件時會提醒你。Google 帳戶也有「密碼安全檢查」，會檢查外洩、重複使用和強度太弱的密碼。想知道自己的 email 有沒有在外洩名單裡，可以到 Have I Been Pwned 網站查。 ➌「隱藏電子郵件地址」：哪個網站外洩或不想再收信，到 iCloud 停用那一組地址，之後寄到那組地址的信會被退回。 ➍把密碼寫在紙上：英國國家網路安全中心（NCSC）的建議是，寫下來可以，但要放在安全的地方，而且不能跟裝置放在一起。

＝＝＝

🔹 還有一件事：要更新

還有一件很重要、版面上沒寫到的：要更新。

很多人覺得手機、電腦用得好好的，一更新又要重新適應。如果是大更新，像 26 跳到 27，可以先不要更新，因為大更新之後，常常有些銀行、有些 App 還沒跟上，不能用。可是 27.1、27.2 這種後面有小數點的，是維護性的更新，比較穩定，這時候就該更新。

更新是為了什麼？像這個月這種亂七八糟的瘋狂攻擊，很多漏洞就是因為你沒更新。舉這週的新聞：11 月 7 日，東京警視廳在銀座逮捕一名 31 歲的中國男子。他開著車，把車當成基地台。先用干擾器，讓附近 500 公尺內的手機突然收不到訊號；手機會自動找新的訊號，就連上他車裡的 2G 基地台。為什麼是 2G？我們現在不是都用 4G、5G 嗎？因為 2G 的漏洞比較多。連上之後，他就能冒充電信公司發簡訊：「你的信用卡付款已暫停」。人又在銀座，你可能正要買東西，就去按了那則簡訊，就被騙了。

所以版本越低，被駭入的風險就越高。更新很多都是在補漏洞，拜託大家記得更新，尤其是家裡的長輩。特別是用 Android 手機的，Android 各家廠牌更新的年限不一樣，很多舊手機已經收不到安全更新，真的要注意。

☑️查核 ➊不升大版也補得到漏洞：Apple 11 月 9 日同一天推出 iOS 27.2.1、iOS 26.7.3 和 iOS 18.7.12，留在 iOS 26 的人一樣收得到安全修補。 ➋已經被拿來攻擊的漏洞：Apple 9 月 28 日的 iOS 26.7.1 修補一個漏洞，官方說它可能已被用在針對特定人士、非常精密的攻擊。 ➌Android 看廠牌與機型：Google 自家的 Pixel 8 以後有 7 年更新，Pixel 7 和 Pixel 6 系列是 5 年；其他品牌各自規定。手機收不收得到更新，可以在「設定」裡看最近一次「安全性更新」的日期。

＝＝＝

🔹 給店家，也給用 AI 寫程式的人

給店家跟中小企業：有連網路的設備，像藍牙喇叭、小米監視器、小米喇叭，出廠預設密碼一定要改掉。會用 AI 的，也可以請它幫你查設備有沒有異常傳出訊號。經營平台的人，一定要檢查每一個管理者、使用者的權限，員工離職了，權限要收回。

最後給用 AI 寫程式的人，這段我不多說，有在用的就看。現在很多人把 AI 做的作品上傳到 GitHub，裡面有時候放著金鑰，也就是 API key，你一起傳上去了都不知道。有人專門在抓這些 API key。那是什麼？大家都聽過 token 跟算力，你講一句話、一個字，AI 都要處理，你可以想像成一點就是一塊錢。駭客拿到你的 API key，就像拿到你的信用卡，不斷盜刷你的額度。有在用的，千千萬萬要注意。不熟的人也沒關係，叫你的 AI 幫你檢查再檢查，而且這種檢查記得用最強的模型來做。

Google Authenticator下載我放在留言

☑️下載（官方）：iPhone 到 App Store（https://apps.apple.com/tw/app/google-authenticator/id388497605 ）；Android 到 Google Play（https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 ）

聽執行長說書

文／聽執行長說書

🎬 解說影片

🔗 相關說書

反向連結