通行密钥是什么？香港企业告别OTP指南

重点摘要

1. 对公司的风险：员工仍用密码加短信验证码登录，骗徒可以实时转发盗用；改用通行密钥后，攻击会转向账户恢复、备用登录方式和「人」。
2. 通行密钥是存储在手机、电脑或实体安全密钥上的登录凭证，用面容、指纹或屏幕密码解锁，没有密码可偷。
3. 它只会在真正的网站上生效，因此可以抵御钓鱼，这是短信或应用验证码做不到的。
4. 证监会第 26EC35 号通函要求网上经纪及虚拟资产交易平台在 2027 年 7 月 8 日前停用一次性密码作客户登录。
5. 先为电邮、WhatsApp 和管理员账户启用，再关闭较弱的备用登录方式。

假如一个仿冒的券商网页可以一次过拿到你的密码和短信验证码，那个验证码其实从来没有真正保护过你。通行密钥就是为了堵住这个缺口而设计的，香港监管机构也已开始要求采用。

什么是通行密钥（Passkey）？

通行密钥是取代密码的登录凭证，由一对数码钥匙组成：私钥留在你的手机、电脑或实体安全密钥里，公钥交给网站保存。登录时你只需用面容、指纹或屏幕密码解锁，不必输入、记住或交出任何密码。

密码好比办公楼大门的密码锁，谁偷听到号码都能进门；通行密钥则像一张只能刷开你自己那栋楼的门禁卡，而且必须在你手上才有效。

通行密钥基于 FIDO 联盟（Fast IDentity Online，业界认证标准组织）制定的 FIDO2 和 WebAuthn 标准，Apple、Google、Microsoft 和 WhatsApp 账户都已支持。

通行密钥如何运作？

创建通行密钥时，设备会生成一对钥匙，只把公钥交给网站。每次登录，网站发出一次性的挑战码，你用面容、指纹或密码解锁后，设备用私钥签名。签名与真正的网址绑定，假网站仿得再像，也拿不到可用的数据。

一个香港例子：荃湾一家物流公司的出纳收到短信，说她的证券账户已被冻结，并附上与真网站一模一样的登录页。如果用密码加短信验证码，她输入两者后，骗徒会在几秒内把资料转发到真网站登录。这种实时转发手法，正是证券及期货事务监察委员会（证监会）2026 年 7 月发出第 26EC35 号通函时所描述的情况。改用通行密钥后，手机发现网址不符，根本不会提供可签名的钥匙。

每次登录背后的四个步骤

1. 创建：设备生成钥匙对，私钥存放在 iCloud 钥匙串、Google 密码管理工具、其他密码管理软件或实体安全密钥中。
2. 挑战：登录时，网站发出一个随机的一次性挑战码。
3. 解锁：你用面容、指纹或密码确认，生物特征数据不会离开设备。
4. 签名：设备只为该域名签署挑战码，网站再用已保存的公钥核验。

通行密钥有哪些类型？

常见类型有三种：同步通行密钥存放在 Apple、Google 或 Microsoft 账户，换新手机也能继续使用；设备绑定通行密钥只留在一部手机或电脑上；实体安全密钥则是 USB 或 NFC 小装置。同步版最方便，后两者更适合管理员账户。

类型	存放位置	适合对象	需要注意
同步通行密钥	Apple、Google 或 Microsoft 账户	一般员工和个人账户	安全程度取决于背后的云账户
设备绑定通行密钥	单一手机或电脑	需要严格管控的系统	设备丢失时必须有备用
实体安全密钥	USB 或 NFC 密钥	管理员、财务审批人	需另行购买，每人最好准备两把

骗徒如何绕过通行密钥？

骗徒很少破解通行密钥本身，而是绕开它：逼你改用密码或短信验证码、滥用账户恢复流程、入侵同步密钥的 Apple 或 Google 账户、用恶意软件窃取已登录的会话，或者说服员工点击批准。凡是要求你改用其他方式登录，都要提高警惕。

主要入侵途径

1. 降级攻击：假网页声称通行密钥暂时不可用，要求你改为输入密码和短信验证码。
2. 滥用账户恢复：骗徒冒充员工致电 IT 支持，或通过短信重置密码，再登记自己的通行密钥。
3. 入侵同步账户：一旦 Apple ID 或 Google 账户被钓取，所有同步的通行密钥都会失守。
4. 设备代码钓鱼：骗徒引导你在真正的 Microsoft 登录页输入一组代码，等于授权对方登录。HKCERT 2026 年第三季报告指出，EvilTokens 钓鱼工具包推出几个月内已与全球超过 12,000 个邮箱有关（HKCERT，2026 年 11 月 5 日）。
5. 窃取会话：信息窃取恶意软件在你登录后复制浏览器 Cookie，骗徒不必再登录。
6. 已关联设备和二维码：例如诱骗你扫描 WhatsApp Web 二维码，把骗徒的电脑关联到你的账户，详见什么是 WhatsApp 劫持。

警示信号

1. 收到「已添加通行密钥」或「新设备登录」通知，但你并没有操作。
2. 登录页的网址不是你自己输入或收藏的。
3. 有人要求你读出验证码，或点击「批准」。

怎样用通行密钥保护账户？

先处理能解锁其他一切的账户：电邮、Apple 或 Google 账户、WhatsApp、网上银行和管理员后台。为每个账户创建通行密钥，再加一把备用密钥，然后在服务允许时关闭短信验证码或密码备用。公司还应为付款制定核实规则。

个人：准确设置路径（最后核实：2026 年 11 月 10 日）

1. WhatsApp（iPhone）：WhatsApp > 设置 > 账号 > 通行密钥 > 创建通行密钥（需 iOS 16 或以上，存放在 iCloud 钥匙串）。
2. WhatsApp（Android）：WhatsApp > 设置 > 账号 > 通行密钥 > 创建通行密钥（需 Android 9 或以上，并已设置 Google 密码管理工具或其他密码管理软件）。
3. Google 账户（iPhone 或 Android）：打开 myaccount.google.com > 安全 > 登录 Google 的方式 > 通行密钥和安全密钥 > 创建通行密钥。
4. Apple 账户（iPhone）：通行密钥会自动存入 iCloud 钥匙串，可在「密码」App（iOS 18 或以上）或「设置 > 密码」中查看。
5. Microsoft 账户：account.microsoft.com > 安全 > 管理我的登录方式 > 添加新的登录方式 > 人脸、指纹、PIN 或安全密钥。

不同手机品牌和应用版本的菜单名称可能略有差异。

中小企和 IT 团队

1. 先为 Microsoft 365 或 Google Workspace 管理员账户启用抗钓鱼多因素认证（MFA，即登录时需要两种或以上的证明），再推广到全体员工。
2. 管理员账户取消短信备用，每人配发两把实体安全密钥。
3. 收紧账户恢复：IT 重置登录前，必须按公司通讯录号码回拨核实身份；每次新增通行密钥都自动发出提醒。
4. 如果公司运营客户门户网站或 App，应把登录、设备绑定和账户恢复当作同一个流程测试，漏洞通常藏在后两者。

公司情境：骗徒钓不到通行密钥时

员工登录受到保护后，骗徒会转而攻击付款流程。常见手法是「老板」用新号码在 WhatsApp 联系财务部，说自己正在开会，要求紧急支付一笔供应商货款，或者索取刚收到的验证码。这一步根本不涉及登录，通行密钥帮不上忙，能挡住它的是公司规则。

公司规则：任何付款、更改收款账户或分享验证码，都不能只凭消息执行。必须按公司通讯录上的号码回拨核实，新收款人须由第二人批准。

员工通知（可直接复制到 WhatsApp 群组）

【IT 通知】公司将改用通行密钥登录
1. 请在本周内为工作电邮和 WhatsApp 创建通行密钥（步骤见 IT 指引）。
2. 不要在短信、WhatsApp 或电邮链接中输入密码或验证码。
3. IT 绝不会要求你读出验证码，或批准不是由你发起的登录。
4. 任何通过消息提出的付款要求，请先按通讯录号码回拨核实。

账户被盗用应该怎么办？

马上行动：退出所有会话，删除陌生的通行密钥和已关联设备，更改背后电邮、Apple 或 Google 账户的密码和恢复资料，并通知联系人。如涉及金钱，致电「防骗易」热线 18222，并向 HKCERT 报告。

1. 警方反诈骗协调中心的「防骗易」热线 18222 全天 24 小时提供即时咨询；正式报案须到警署或使用警方电子报案中心，紧急情况请拨打 999。
2. 用防骗视伏器查核可疑电话、账户或网址。
3. 致电 HKCERT 热线 8105 6060，或填写事故报告表格。
4. 如涉及信用卡或付款，立即联系银行冻结。
5. 如客户或员工的个人资料可能外泄，应考虑通知个人资料私隐专员公署及受影响人士。
6. 保留证据：截图、发送号码和时间。

通行密钥、OTP 与密码有什么区别？

密码是你记住的秘密，OTP（一次性密码）是通过短信发送或由应用生成的短暂验证码，两者都可能被输入假网站并实时转发。通行密钥是设备上的加密钥匙，只在真网站签名，因此能抵御钓鱼，网站数据泄露时也没有可重复使用的秘密。

	密码	短信或应用 OTP	通行密钥
在假网站上有效？	有效	有效，可被实时转发	无效，与真域名绑定
网站泄露时会失守？	会，如存储不当	不能重复使用	不会，网站只有公钥
你需要做什么	输入密码	输入验证码	面容、指纹或屏幕密码
弱点	重复使用、被猜中	实时转发、SIM 卡调换	账户恢复和同步账户

通行密钥本身已结合「持有的设备」和「生物特征或密码」两个因素，属于抗钓鱼多因素认证的一种。想了解它要防住的攻击，可以阅读什么是网络钓鱼。

香港企业必须使用通行密钥吗？

大部分企业暂时不必。目前最明确的规定是证监会 2026 年 7 月 9 日发出的第 26EC35 号通函，要求持牌网上经纪和虚拟资产交易平台在 2027 年 7 月 8 日前停用一次性密码作客户登录及设备绑定。HKCERT 也建议高风险账户采用抗钓鱼认证。

香港最新情况（更新于 2026 年 11 月）

1. HKCERT 在 2026 年第三季录得 4,404 宗安全事故，同比增加约 15%；其中钓鱼 2,672 宗，约占 61%，社交媒体和即时通讯应用约占钓鱼目标的 46%（HKCERT，2026 年 11 月 5 日）。
2. 2026 年 9 月中，警方在短时间内接获超过 700 宗怀疑信用卡被盗用的报案，损失约 1,470 万港元（HKCERT 警示，2026 年 9 月 14 日）。
3. FIDO 联盟 2026 年 10 月发布的 Passkey Index 显示，12 个参与服务平均有 36% 的成功登录使用通行密钥，高于上一年的 26%；8 个有统计的服务全部表示成功的钓鱼攻击减少（FIDO 联盟）。这是全球数据，不是香港数字。

公司现在应该改用通行密钥吗？

应该，而且从最重要的账户开始。通行密钥拿走了钓鱼网页最想偷的那个秘密，但账户恢复流程、备用登录方式和付款回拨规则仍需同步收紧，因为那正是骗徒下一步会去的地方。

60 秒自我检查清单

1. 主要电邮和所有管理员账户是否已设置通行密钥或实体安全密钥？
2. 管理员账户是否仍允许用短信验证码作备用？
3. 谁可以重置员工登录？他们怎样确认对方真是本人？
4. 每一个通过消息提出的付款要求，是否都会回拨核实？
5. 如果有人新增通行密钥或设备，你会不会收到提醒？

抢在骗徒之前，先测试你的登录流程

通行密钥有多安全，取决于它周边的备用和账户恢复流程。渗透测试会用真实攻击者的手法，检查你的网站、App 或客户门户的登录、设备绑定和账户恢复，修复后再重新测试。

预约免费评估

常见问题

通行密钥会被盗取吗？

私钥在设计上不会离开你的设备或密码管理软件，网站只保存公钥。实际风险在于别人解锁你的手机，或入侵负责同步的 Apple、Google 或 Microsoft 账户。

手机丢了怎么办？

同步通行密钥在新设备登录 Apple 或 Google 账户后即可找回；设备绑定的则不能，所以应预先登记第二部设备或实体安全密钥作备用。

中小企使用通行密钥需要付费吗？

Apple、Google、Microsoft 和 WhatsApp 账户的通行密钥都免费；实体安全密钥需另行购买，一般建议用于管理员和财务审批账户。

公司不是证券经纪，证监会的规定适用吗？

不适用。第 26EC35 号通函只涵盖证监会持牌网上经纪和虚拟资产交易平台；不过 HKCERT 同样建议高风险账户采用抗钓鱼多因素认证。