# 好油案給高風險族群的真正教訓：不是 VPN 沒用，是「習慣」出賣了你

> 好油案讓不少人以為「VPN 沒用，警察還是查得到」。但如果你的處境是社運參與、跨性別身分、或記者工作，這篇真正該問的不是「VPN 有沒有用」，而是「在你的威脅情境下，VPN 該怎麼設定、怎麼用，才真的保護得到你」。

*高風險族群 · 更新於 2026.07.04 · 約 6 分鐘閱讀*

---

![black smartphone](https://ethome.cc/wp-content/uploads/2026/07/dumttyw2xc0-edited.jpg)

**本文重點**

- [VPN](https://ethome.cc/glossary/vpn%ef%bc%88%e8%99%9b%e6%93%ac%e7%a7%81%e4%ba%ba%e7%b6%b2%e8%b7%af%ef%bc%89/) 保護的是「你連去哪裡的內容」，不是「你有沒有連線這件事本身」

- 2024 年通保法修法後，就算沒有通訊內容，光是連線的中繼資料也可能被拼湊出行為模式

- 好油案真正的破口是操作習慣不一致，這是高風險族群最容易犯、也最容易補起來的漏洞

- VPN 的保護力，取決於註冊地、日誌政策、付款方式這些具體條件，不是裝了就有效

- 就算你現在只做得到一件事——讓匿名身分從頭到尾維持同一套防護——也已經大幅降低風險

## 好油案的真正教訓——不是 VPN 沒用，是「習慣」出賣了你

2023 年的好油案，很多轉傳文章下標成「VPN 還是被抓到」，讓人以為 VPN 這個工具本身失靈了。案件本身的政治爭議這裡不多談，但技術脈絡值得拆開來看，因為它跟高風險族群最常遇到的破口幾乎一模一樣。

嫌犯後來確實用了 VPN 跳板，也確實躲過了一部分追查。真正讓身分曝光的，是這個帳號**第一次註冊、登入時，還沒開 VPN**，用真實網路環境留下了原始 IP。之後才開始用 VPN 操作，但帳號從一開始就已經跟真實身分綁在一起了。加上社群平台配合提供了這個帳號過去多次的登入紀錄，兩件事合在一起，才把人找出來。

**最容易犯、也最危險的破口**
同一個裝置、同一個帳號，在「有防護」和「沒防護」的狀態之間切換使用。不是 VPN 被攻破，是身分沒有維持一致。這件事套用在任何情境都成立：一個社運帳號如果曾經有一次用真實網路登入過，之後再怎麼認真開 VPN，那個最初的痕跡通常已經留下了。

這裡想先說清楚一件事：如果你回想起自己也曾經有過類似的疏漏，那不代表你做錯了什麼、也不代表你已經沒有防護可言。多數人的操作習慣本來就是慢慢建立起來的，重要的是現在知道了，接下來怎麼調整。

## 就算沒有 VPN 問題，你平常上網也在留下什麼？

2024 年 7 月，台灣通過通訊保障及監察法（通保法）修正案，新增了「網路流量紀錄」這個定義，並要求電信業者保存。白話說，這指的是連線本身的中繼資料（有時稱作 metadata）：你什麼時候上網、連到哪個網域、連了多久、用了什麼協定——但不包含你實際傳送的內容。

**小技巧：為什麼「不含內容」的紀錄也值得在意？**
中繼資料單看一筆沒有意義，但累積起來會出現模式。舉個中性的例子：如果一個帳號固定在每週三晚上七點連上某個特定網域十五分鐘，就算沒有人知道傳了什麼內容，也大致能推測出這是某種固定聚會或例行活動。對一般人來說這可能無傷大雅，但如果你的固定活動本身涉及需要保密的身分或處境，**這種「模式」就是需要在意的地方**。

## 制度上，誰可以調你的紀錄、門檻有多低？

這裡誠實地講清楚規則，不是要嚇你，而是讓你自己判斷該把警覺放在哪裡。新法之後，檢察官或司法警察官偵辦特定犯罪、認定通信紀錄或網路流量紀錄跟案件有關聯性與必要性時，可以聲請調取。多數情況下**不需要法官事前審核**，檢察官許可即可執行；台灣人權促進會等民間團體對此提出過疑慮，指出法律本身沒有明訂保存期限與監督機制，實務上過去通聯紀錄調取九成以上不經法官同意。

## 在你的威脅情境下，VPN 該怎麼選、怎麼用

「威脅情境」聽起來很抽象，簡單說就是：你在防誰？防的是好奇的路人、還是有資源、有動機針對你的對象？答案不同，該投入的防護程度也不同。以下步驟從基本到進階排列，不用一次全部做到。

- **查 VPN 公司註冊在哪個國家。**該國有沒有強制資料保留法規，會直接影響「就算被要求，這家公司手上有沒有東西可以交出去」。

- **找有第三方稽核紀錄的「無日誌政策」。**不要只看行銷用語上寫「無日誌」，查一下這家公司是否曾經公開接受過獨立稽核。

- **付款方式盡量不要跟真實身分綁在一起。**信用卡、綁定真實姓名的帳戶，都可能成為串連身分的線索。

- **【最重要】身分從第一天就要區隔清楚。**匿名帳號從第一次註冊、第一次登入開始，就用同一套防護，不要有時候用真實網路、有時候切換。這是好油案裡真正的破口，也是最值得優先處理的一項。

- **定期做 DNS 洩漏測試。**確認你的網域查詢真的有經過 VPN，而不是繞過了保護直接暴露給 ISP。

- **高敏感情境可以考慮 VPN 疊加 Tor。**如果你的處境需要更高的匿名程度，可以參考站上另一篇〈VPN、Tor、Proxy：工具差異與使用時機〉，裡面有更完整的情境對照。

## 資訊量太大？先做這一件事就好

如果上面六點看完覺得負擔很大，這是很正常的反應——資安從來不是一次到位的事。如果你現在只能選一件事先做，做這件：**讓你的匿名身分從此刻起，維持同一套防護，不要再跟真實身分共用同一個上網習慣。**好油案裡真正曝光身分的關鍵就是這件事沒做到，而這也是六點裡面成本最低、最容易立刻執行的一項。

之後有餘力，再一步步往前面的項目補強。不需要一次做到完美。

## 出發前，先確認這幾件事

- 我知道 VPN 商註冊在哪個國家、有沒有資料保留的法律要求

- 我用的 VPN 有第三方稽核過的無日誌政策，不是只看行銷文字

- 我的匿名帳號沒有任何一次是用真實 IP 登入過

- 我大致知道台灣現在調取上網紀錄的門檻和程序

- 我知道如果需要進一步協助，可以找誰

## 總結

VPN 不會因為一個案例就變得沒有用，但它也從來不是萬能的隱形斗篷。真正決定你安不安全的，往往是最平凡的操作習慣有沒有維持一致，而不是你用了多貴、多知名的工具。如果你剛好想起自己過去有類似的疏漏，那不是太遲，現在調整都還來得及。

## 資料來源

- 中央社，[〈通保法三讀通過 檢方辦案可聲請調取網路流量紀錄〉](https://www.cna.com.tw/news/aipl/202407120283.aspx)，2024/7/12

- Rti央廣，[〈通保法修正通過 電信業者有義務保存使用者通信紀錄供調取〉](https://www.rti.org.tw/news?uid=3&pid=90867)，2024/7/12

- 台灣人權促進會，[〈監控開大門，國會同意嗎？〉](https://www.tahr.org.tw/news/3538/)

- TVBS，[〈好油案恐嚇靠 VPN 匿蹤！檢警破解追 IP〉](https://news.tvbs.com.tw/local/2261836)，2023/10/3

- 數位時代 BusinessNext，[〈Lin bay 好油案｜用 Surfshark VPN 能躲避追查嗎？〉](https://www.bnext.com.tw/article/76935/vpn-cybercrime)

---

來源：[好油案給高風險族群的真正教訓：不是 VPN 沒用，是「習慣」出賣了你](https://ethome.cc/vpn-metadata-security-high-risk/)
ethome.cc — 生活化的資安科普