微軟宣布，從今年九月起把 passkey 設為預設的登入方式，並將在明年二月停用自家發送的簡訊與語音驗證碼。理由講得很直接：這些方式本來就擋不住現在的攻擊。但對台灣多數人來說，銀行的簡訊 OTP 短期內不會消失。這篇不談企業怎麼搬遷系統，只告訴你一件重要的事——當簡訊驗證碼靠不住，能換的就先換，換不掉的，就把門號本身守好。

  • 沒有任何單位、機構會請你「念出簡訊裡的數字」。收到這種要求，一律掛掉。
  • 簡訊驗證碼有兩個破口：門號可能被冒名補辦走，驗證碼也可能被假網站即時轉手。
  • Google、Apple、Facebook、Instagram 的驗證方式可以立刻改成驗證器 App 或 passkey，大約五分鐘。
  • 銀行 OTP 暫時換不掉，那就改成保護門號：查詢名下門號、設定語音信箱密碼、設定 SIM PIN。
  • 手機突然完全沒訊號、旁邊的人卻正常，這是需要立刻處理的警訊。
woman holding silver iPhone 6

記得：沒有人會請你念出驗證碼

在所有跟驗證碼有關的詐騙裡，最常見的不是什麼高深的技術攻擊，而是有人打電話來，用各種理由請你把剛剛收到的六位數字念出來。

常見的說法大概是這幾種：「您的帳號有異常交易，我們要核對身分」、「這筆訂單設定錯誤，需要幫您取消，系統會發一組確認碼」、「包裹地址不完整，請提供簡訊裡的號碼完成補件」。話術會換，結構永遠一樣——先製造一件急事，再請你交出那串數字。

連「我幫你確認一下」都不行。驗證碼的定義，就是只有你看得到、只有你輸入。銀行、警察、電商客服、平台客服、快遞，沒有任何一個會需要你把它念出來。只要對方開口要，不管講得多合理、多急，這通電話就到此為止。掛掉之後，自己打官方電話詢問。

連微軟都要停用簡訊驗證碼，代表什麼？

微軟宣布，從 2026 年 9 月 1 日起，passkey 成為預設的驗證方式，原本使用簡訊或語音驗證的使用者會被自動啟用；2027 年 2 月 1 日起，微軟自家提供的簡訊與語音發送服務退場。

這件事不會影響到你明天的登入。上面講的是企業與學校用的 Microsoft 365／Entra ID 帳號政策。一般人自己申請的個人 Microsoft 帳號，目前沒有相同的時程表。如果你的公司或服務單位在用 Microsoft 365，倒是可以把這篇轉給資訊窗口。

對一般讀者來說，值得注意的是微軟給的理由：簡訊與語音驗證依賴共用密鑰與公用電信網路，本來就容易受到 SIM 卡挾持、簡訊攔截，以及門號被回收後重新配發給別人的影響。

換句話說，這不是「簡訊驗證碼突然壞掉了」，而是它一直有這些破口，現在被攻擊得夠多，大公司終於決定不再用它。方向已經定了，只是不同網站遷移的速度不一樣。

a man and a woman exchanging a cell phone at a store

破口一：你的門號可能被別人補辦走

你可以把手機門號想成一把備份鑰匙。銀行、社群、電商，全都約好「誰能收到這支門號的簡訊，誰就是本人」。問題是，這把鑰匙不是你自己保管的，是電信公司保管的——如果有人能說服門市重新配一把，那把新鑰匙一樣打得開你家的門。

台灣實際發生過的樣態，不是打客服唬弄，而是先透過各種管道取得當事人的身分資料，再冒名向電信業者申請補發 SIM 卡。新卡一啟用，原本那支門號就落到對方手上，銀行的 OTP 驗證碼跟著被攔截，接下來就是冒名辦卡、盜轉。

好消息是，這道關卡最近被拉高了。NCC 修正「電信事業提供電信服務風險管理機制指引」，自 2025 年 12 月 30 日起，用戶申請更換或補發 SIM 卡時，要說明申請原因與目的並提供證明資料，由電信業者依 KYC（認識你的客戶）審核結果決定。

順帶澄清一個常見誤解：新制上路時，曾有報導說補卡一定要先報案拿遺失證明。NCC 後來澄清，新制並未規定必須先報案，所謂的證明資料不限於警方開立的遺失證明，業者應綜合申辦紀錄與說明來評估風險。實際要求會因業者與個案而異，臨櫃前建議先打客服問清楚要帶什麼。

最重要的早期徵兆：手機突然完全沒訊號，旁邊的人卻都正常。如果門號被補辦走，你的手機會先失去訊號——這通常不是基地台故障，立刻用別支電話打給你的電信客服確認門號狀態。這段時間差，就是能不能守住帳號與錢的關鍵。

phishing, credentials, data, login, password, internet, technology, hack, attack, id, hook, spam, hacker, cyber, theft, scam, cartoon, fraud, ransomware, risk, identity, website, information, secure, laptop, phishing, phishing, phishing, phishing, phishing, scam

破口二：驗證碼可以被「即時轉手」

另一種情況更難察覺：你沒有把驗證碼告訴任何人，是自己輸入的，結果還是被盜。

原理不難懂。假設你點進一個長得跟銀行一模一樣的網站，輸入帳號密碼——這些資料會在幾秒內被轉貼到真正的銀行網站。真銀行認為是你在登入，發了一封簡訊到你手機。你在假網站上輸入那六位數字，這串數字同樣被立刻轉貼過去。整個過程可能只有二三十秒，而驗證碼在有效期限內完全有效。

所以「我是自己輸入的」不等於安全。要防這種攻擊，判斷點只有一個：網址。不是頁面長得像不像、有沒有鎖頭圖示、字有沒有錯——這些全都可以做得很像。養成一個習慣：需要輸入密碼的網站，永遠從自己的書籤或官方 App 進去，不要從訊息裡的連結點進去。

一句話認識 passkey：它不是密碼，而是存在你手機或電腦裡的一把鑰匙，用指紋或臉部辨識解鎖。它認的是「這台裝置＋這個網址」，遇到假網站根本不會啟動，所以沒有東西可以被轉手。

能換的先換掉，大約五分鐘

記住一個排序就好：App 產生的六位數字 > 簡訊收到的六位數字 > 什麼都沒有。差別在於，驗證器 App 的數字是你手機自己算出來的，不會經過電信網路，門號被補辦走也拿不到。

先下載一個驗證器 App（Google Authenticator、Microsoft Authenticator、Authy 都可以，或用你的密碼管理器內建的功能），然後依序處理下面這幾個帳號。

  1. Google 帳號：進入「管理你的 Google 帳號」→「安全性」→「兩步驟驗證」，新增「驗證器」或「Passkey」，設定完成後把簡訊降為備用選項。Google 帳號通常綁著信箱與雲端相簿，是最該優先處理的一個。
  2. Apple ID：Apple 的雙重認證預設就是把驗證碼送到你已登入的 Apple 裝置上，不是走簡訊。請確認「設定」→ 你的名字 →「登入與安全性」裡，受信任的裝置與電話號碼都是你自己的，沒有陌生項目。
  3. Facebook 與 Instagram：在「設定」→「帳號安全中心」→「雙重驗證」裡，把方式改成驗證應用程式，並把備用碼抄下來收好。
  4. 銀行、證券、電子支付：目前多數仍只能用簡訊 OTP，改不了。改成把交易通知打開，金額門檻設低一點，有動靜你會先知道。

各家 App 的選單位置會隨版本改變，如果找不到，直接在該服務的說明中心搜尋「兩步驟驗證」或「雙重驗證」就會有官方的最新步驟。設定完成後，備用碼請印出來或抄在紙上，不要只存在同一支手機裡。

Sim cards and their adaptors are on display.

換不掉的，就守住門號

銀行的簡訊 OTP 你沒得選，那就把力氣花在保護門號本身。下面四件事都是現在就能做的。

  • 查詢自己名下有幾個門號。三大電信都提供查詢管道：登入自家 App 完成實名驗證後可看到隱碼清單，也可以帶雙證件到直營門市查詢，遠傳用戶還可直撥 888 客服。如果看到自己沒申辦過的門號，帶雙證件到直營門市提出申訴。
  • 設定語音信箱密碼，或乾脆關掉語音信箱。語音信箱是很多人忘記的漏洞。台灣大哥大已全面取消預設密碼機制，並提醒用戶自訂密碼時避開生日、連續數字，或與門號相同的組合。三大電信都可以用手機撥打語音專線或透過官方 App 設定。
  • 設定 SIM PIN。iPhone 在「設定」→「行動服務」→「SIM PIN」，Android 在「設定」→「安全性」→「SIM 卡鎖定」。開啟後每次重開機都要輸入一組四位數字，實體 SIM 卡被拔走裝到別的手機也用不了。預設密碼務必改掉。
  • 把「突然沒訊號」列入警覺清單。不是叫你緊張，是希望這個徵兆出現時，你腦中會亮一盞燈，而不是想說「等等應該就好了」。

如果已經發生了，怎麼辦？

發現門號被搶走或帳號被盜，處理順序不要弄反——門號沒拿回來之前，改再多次密碼都沒有用，因為對方隨時可以用「忘記密碼」再改回去。

  1. 先聯絡電信客服，說明門號可能遭冒名補辦，要求停話並查詢近期申辦紀錄。用市話或別人的手機打。
  2. 聯絡銀行與電子支付，要求圈存止付、暫停網銀與線上交易。多數銀行有 24 小時的緊急掛失專線。
  3. 報案。撥打 165 反詐騙專線諮詢，或到派出所製作筆錄。後續申訴與求償都會用到報案資料。
  4. 拿回門號後，才回頭清理帳號：改密碼、檢查各服務的「登入裝置」與「已授權應用程式」把陌生的踢掉，並趁這次把驗證方式換成驗證器 App。

如果你已經受害了，這不是你不夠小心。這類詐騙的破口，有很大一部分在機構端——外洩的個資、門市的審核流程、銀行只認一組簡訊的設計，這些都不是個人能控制的。把力氣留給接下來的處理，不用花在責備自己。

最後

簡訊驗證碼不是沒用，是不夠用。它擋得住隨便試密碼的人，擋不住已經知道你是誰、也想得到你門號的人。

如果今天只做一件事，就打開 Google 帳號的安全性設定，把兩步驟驗證改成驗證器 App 或 passkey。真的只要五分鐘，而且這一步能保護的東西，比你想像的多。

如果你正在協助他人處理帳號被盜或個資外洩，或想為自己的狀況做一次盤點，我們也提供一對一諮詢——個人與組織都可以預約。

延伸閱讀

參考資料

  • Microsoft Learn，〈Passkeys by default and retirement of Microsoft-provided SMS and voice authentication〉，連結
  • 中央社，〈NCC：未要求補發 SIM 卡必須報案 將與電信業者溝通〉，2026 年 1 月 2 日，連結
  • INSIDE，〈SIM 卡遺失補卡要「報案」嗎？NCC 澄清新制規定〉，2026 年 1 月 2 日，連結
  • TechNews 科技新報，〈注意 SIM 卡詐欺手法猖獗！全盈+PAY 與臺企銀跨域聯手打擊犯罪〉，連結
  • 中央社財經訊息平台，〈台灣大哥大強化語音信箱安全機制 優化遠端驗證守護用戶資安〉，連結
  • 壹蘋新聞網，〈門號被冒用怎麼查？中華電信、台灣大、遠傳教你這樣自保〉，2025 年 8 月 1 日，連結