通行密鑰是什麼？香港企業告別OTP指南

重點摘要

1. 對公司的風險：員工仍以密碼加短訊驗證碼登入，騙徒可即時轉發盜用；改用通行密鑰後，攻擊會轉向帳戶恢復、後備登入方式和「人」。
2. 通行密鑰是儲存在手機、電腦或實體保安鑰匙上的登入憑證，以面容、指紋或螢幕密碼解鎖，沒有密碼可偷。
3. 它只會在真正的網站上生效，因此能抵禦釣魚，這是短訊或程式驗證碼做不到的。
4. 證監會第 26EC35 號通函要求網上經紀及虛擬資產交易平台於 2027 年 7 月 8 日前停用一次性密碼作客戶登入。
5. 先為電郵、WhatsApp 及管理員帳戶啟用，再關閉較弱的後備登入方式。

如果一個假冒銀行網頁能同時取得你的密碼和短訊驗證碼，那個驗證碼其實從未真正保護過你。通行密鑰正是為堵塞這個缺口而設，而香港的監管機構亦已開始要求採用。

什麼是通行密鑰（Passkey）？

通行密鑰是取代密碼的登入憑證，由一對數碼鑰匙組成：私鑰留在你的手機、電腦或實體保安鑰匙內，公鑰則交給網站保存。登入時你只需以面容、指紋或螢幕密碼解鎖，毋須輸入、記憶或交出任何密碼。

密碼就像大廈大門的密碼鎖，任何人偷聽到號碼就能進門；通行密鑰則像只能打開你所住大廈的住戶門卡，而且必須在你手上才有效。

通行密鑰建基於 FIDO 聯盟（Fast IDentity Online，業界認證標準組織）制定的 FIDO2 與 WebAuthn 標準，Apple、Google、Microsoft 及 WhatsApp 帳戶均已支援。

通行密鑰如何運作？

建立通行密鑰時，裝置會產生一對鑰匙，只把公鑰交給網站。每次登入，網站發出一次性的挑戰碼，你以面容、指紋或密碼解鎖後，裝置用私鑰簽署。簽署與真正的網址綁定，假網站模仿得再像，也取不到可用的資料。

一個香港例子：觀塘一家貿易公司的會計文員收到短訊，指她的證券帳戶已被鎖，並附上與真網站一模一樣的登入頁。若用密碼加短訊驗證碼，她輸入兩者後，騙徒會在數秒內把資料轉發到真網站登入。這種即時轉發手法，正是證券及期貨事務監察委員會（證監會）2026 年 7 月發出第 26EC35 號通函時描述的情況。改用通行密鑰，手機發現網址不符，根本不會提供任何可簽署的鑰匙。

每次登入背後的四個步驟

1. 建立：裝置產生鑰匙對，私鑰存於 iCloud 鑰匙圈、Google 密碼管理工具、其他密碼管理程式或實體保安鑰匙。
2. 挑戰：登入時，網站發出一個隨機的一次性挑戰碼。
3. 解鎖：你以面容、指紋或密碼確認，生物特徵資料不會離開裝置。
4. 簽署：裝置只為該網域簽署挑戰碼，網站再以已保存的公鑰核實。

通行密鑰有哪些類型？

常見類型有三種：同步通行密鑰存於 Apple、Google 或 Microsoft 帳戶，換新手機也能沿用；裝置綁定通行密鑰只留在一部手機或電腦；實體保安鑰匙則是 USB 或 NFC 小裝置。同步版最方便，後兩者適合管理員帳戶。

類型	存放位置	適合對象	要留意
同步通行密鑰	Apple、Google 或 Microsoft 帳戶	一般員工及個人帳戶	安全程度取決於背後的雲端帳戶
裝置綁定通行密鑰	單一手機或電腦	需要嚴格控制的系統	遺失裝置時必須有後備
實體保安鑰匙	USB 或 NFC 鑰匙	管理員、財務審批人	需另行購買，每人宜備兩把

騙徒如何繞過通行密鑰？

騙徒極少破解通行密鑰本身，而是繞道而行：迫你改用密碼或短訊驗證碼、濫用帳戶恢復流程、入侵同步密鑰的 Apple 或 Google 帳戶、以惡意程式盜取已登入的工作階段，或說服員工按下批准。凡要求你改用其他方式登入，都要提高警覺。

主要入侵途徑

1. 降級攻擊：假網頁聲稱通行密鑰暫時不可用，要求你改為輸入密碼和短訊驗證碼。
2. 濫用帳戶恢復：騙徒冒充員工致電 IT 支援，或以短訊重設密碼，再登記自己的通行密鑰。
3. 入侵同步帳戶：一旦 Apple ID 或 Google 帳戶被釣取，所有同步的通行密鑰都會失守。
4. 裝置代碼釣魚：騙徒引導你在真正的 Microsoft 登入頁輸入一組代碼，等同授權對方登入。HKCERT 2026 年第三季報告指出，EvilTokens 釣魚工具包推出數月內已與全球逾 12,000 個郵箱有關（HKCERT，2026 年 11 月 5 日）。
5. 盜取工作階段：資訊竊取惡意程式在你登入後複製瀏覽器 Cookie，騙徒毋須再登入。
6. 已連結裝置及 QR code：例如誘騙你掃描 WhatsApp Web 的 QR code，把騙徒的電腦連結到你的帳戶，詳見什麼是 WhatsApp 騎劫。

警號

1. 收到「已新增通行密鑰」或「新裝置登入」通知，但你沒有進行任何操作。
2. 登入頁的網址並非你自行輸入或收藏。
3. 有人要求你讀出驗證碼，或按下「批准」。

怎樣以通行密鑰保護帳戶？

先處理能解鎖其他一切的帳戶：電郵、Apple 或 Google 帳戶、WhatsApp、網上銀行及管理員後台。為每個帳戶建立通行密鑰，再加一把後備鑰匙，然後在服務容許時關閉短訊驗證碼或密碼後備。公司亦應為付款訂立核實規則。

個人：準確設定路徑（最後核實：2026 年 11 月 10 日）

1. WhatsApp（iPhone）：WhatsApp > 設定 > 帳號 > 通行密鑰 > 建立通行密鑰（需 iOS 16 或以上，儲存於 iCloud 鑰匙圈）。
2. WhatsApp（Android）：WhatsApp > 設定 > 帳號 > 通行密鑰 > 建立通行密鑰（需 Android 9 或以上，並已設定 Google 密碼管理工具或其他密碼管理程式）。
3. Google 帳戶（iPhone 或 Android）：開啟 myaccount.google.com > 安全性 > 登入 Google 的方式 > 通行密鑰和安全金鑰 > 建立通行密鑰。
4. Apple 帳戶（iPhone）：通行密鑰會自動存入 iCloud 鑰匙圈，可在「密碼」App（iOS 18 或以上）或「設定 > 密碼」查看。
5. Microsoft 帳戶：account.microsoft.com > 安全性 > 管理我的登入方式 > 新增登入方式 > 臉部、指紋、PIN 或安全性金鑰。

不同手機品牌及程式版本的選單名稱可能略有不同。

中小企及 IT 團隊

1. 先為 Microsoft 365 或 Google Workspace 管理員帳戶啟用抗釣魚多重認證（MFA，即登入時需要兩種或以上證明），再推展至全體員工。
2. 管理員帳戶取消短訊後備，每人配發兩把實體保安鑰匙。
3. 收緊帳戶恢復：IT 重設登入前，必須按公司通訊錄號碼回撥核實身份；每次新增通行密鑰都自動發出警示。
4. 如公司營運客戶入口網站或 App，應把登入、裝置綁定與帳戶恢復視為同一流程測試，漏洞通常藏在後兩者。

公司情境：騙徒無法釣取通行密鑰時

員工登入受到保護後，騙徒會轉攻付款流程。常見手法是「董事」以新號碼在 WhatsApp 聯絡會計部，聲稱正在開會，要求緊急支付供應商款項，或索取剛收到的驗證碼。這一步根本不涉及登入，通行密鑰無能為力，能擋住它的是公司規則。

公司規則：任何付款、更改收款戶口或分享驗證碼，都不可只憑訊息執行。必須按公司通訊錄上的號碼回撥核實，新收款人須由第二人批准。

員工通知（可直接複製到 WhatsApp 群組）

【IT 通知】公司將改用通行密鑰登入
1. 請於本週內為工作電郵及 WhatsApp 建立通行密鑰（步驟見 IT 指引）。
2. 切勿在短訊、WhatsApp 或電郵連結中輸入密碼或驗證碼。
3. IT 絕不會要求你讀出驗證碼，或批准並非由你發起的登入。
4. 任何以訊息提出的付款要求，請先按通訊錄號碼回撥核實。

帳戶被盜用應該怎樣做？

立即行動：登出所有工作階段，刪除陌生的通行密鑰及已連結裝置，更改背後電郵、Apple 或 Google 帳戶的密碼及恢復資料，並通知聯絡人。如涉及金錢，致電「防騙易」熱線 18222，並向 HKCERT 報告。

1. 警方反詐騙協調中心的「防騙易」熱線 18222 全日 24 小時提供即時諮詢；正式報案須到警署或使用警方電子報案中心，緊急情況請致電 999。
2. 以防騙視伏器查核可疑電話、戶口或網址。
3. 致電 HKCERT 熱線 8105 6060，或填寫事故報告表格。
4. 如涉及信用卡或付款，立即聯絡銀行凍結。
5. 如客戶或員工的個人資料可能外洩，應考慮通知個人資料私隱專員公署及受影響人士。
6. 保留證據：截圖、發送號碼及時間。

通行密鑰、OTP 與密碼有何分別？

密碼是你記住的秘密，OTP（一次性密碼）是以短訊發送或由程式產生的短暫驗證碼，兩者都可以被輸入假網站並即時轉發。通行密鑰是裝置上的加密鑰匙，只會在真網站簽署，因此能抵禦釣魚，網站資料外洩時亦沒有可重用的秘密。

	密碼	短訊或程式 OTP	通行密鑰
在假網站上有效？	有效	有效，可被即時轉發	無效，與真網域綁定
網站外洩時會失守？	會，如儲存不當	不能重用	不會，網站只有公鑰
你要做什麼	輸入密碼	輸入驗證碼	面容、指紋或螢幕密碼
弱點	重複使用、被猜中	即時轉發、SIM 卡調換	帳戶恢復及同步帳戶

通行密鑰本身已結合「持有的裝置」與「生物特徵或密碼」兩個因素，屬抗釣魚多重認證的一種。想了解它要擋住的攻擊，可閱讀什麼是網絡釣魚。

香港企業必須使用通行密鑰嗎？

大部分企業暫時不必。目前最明確的規定是證監會 2026 年 7 月 9 日發出的第 26EC35 號通函，要求持牌網上經紀及虛擬資產交易平台在 2027 年 7 月 8 日前停用一次性密碼作客戶登入及裝置綁定。HKCERT 亦建議高風險帳戶採用抗釣魚認證。

香港最新情況（更新於 2026 年 11 月）

1. HKCERT 於 2026 年第三季錄得 4,404 宗保安事故，按年增加約 15%；其中釣魚 2,672 宗，約佔 61%，而社交媒體及即時通訊程式佔釣魚目標約 46%（HKCERT，2026 年 11 月 5 日）。
2. 2026 年 9 月中，警方在短時間內接獲逾 700 宗懷疑信用卡被盜用的報案，損失約 1,470 萬港元（HKCERT 警示，2026 年 9 月 14 日）。
3. FIDO 聯盟 2026 年 10 月發表的 Passkey Index 顯示，12 個參與服務平均有 36% 的成功登入使用通行密鑰，高於上一年的 26%；8 個有量度的服務全部表示成功的釣魚攻擊減少（FIDO 聯盟）。此為全球數據，並非香港數字。

公司現在應該改用通行密鑰嗎？

應該，而且由最重要的帳戶開始。通行密鑰拿走了釣魚網頁最想偷的那個秘密，但帳戶恢復流程、後備登入方式與付款回撥規則仍需同步收緊，因為那正是騙徒下一步會去的地方。

60 秒自我檢查清單

1. 主要電郵及所有管理員帳戶是否已設定通行密鑰或實體保安鑰匙？
2. 管理員帳戶是否仍容許以短訊驗證碼作後備？
3. 誰可以重設員工登入？他們怎樣確認對方真是本人？
4. 每一個以訊息提出的付款要求，是否都會回撥核實？
5. 如有人新增通行密鑰或裝置，你會否收到警示？

在騙徒之前，先測試你的登入流程

通行密鑰有多安全，取決於它周邊的後備與帳戶恢復流程。滲透測試會以真實攻擊者的手法，檢查你的網站、App 或客戶入口的登入、裝置綁定及帳戶恢復，修補後再重新測試。

預約免費評估

常見問題

通行密鑰會被盜取嗎？

私鑰在設計上不會離開你的裝置或密碼管理程式，網站只保存公鑰。實際風險在於他人解鎖你的手機，或入侵負責同步的 Apple、Google 或 Microsoft 帳戶。

遺失手機怎麼辦？

同步通行密鑰在新裝置登入 Apple 或 Google 帳戶後即可取回；裝置綁定的則不能，因此應預先登記第二部裝置或實體保安鑰匙作後備。

中小企使用通行密鑰需要付費嗎？

Apple、Google、Microsoft 及 WhatsApp 帳戶的通行密鑰均免費；實體保安鑰匙需另行購買，一般建議用於管理員及財務審批帳戶。

公司不是證券經紀，證監會的規定適用嗎？

不適用。第 26EC35 號通函只涵蓋證監會持牌網上經紀及虛擬資產交易平台；不過 HKCERT 同樣建議高風險帳戶採用抗釣魚多重認證。