第六章　同样是双重验证，防护能力为何不同

两份可以对读的复盘

Cloudflare 在 2022 年的企业复盘中称：一场仿冒登录短信攻击中，有员工输入了凭据，但公司使用的 FIDO2 安全密钥阻止了后续登录；公司当时未发现系统被攻破。Cloudflare 原始复盘，S09

同年，Dropbox 披露另一场钓鱼事件：攻击者复制了 130 个代码库。员工使用的硬件设备能够产生一次性验证码，这一安排仍未挡住该次钓鱼；公司称，权限更严格的核心应用和基础设施代码未包括在受影响代码库中。Dropbox 原始复盘，S10

两份都是企业自己的事件说明，影响范围有赖其当时的调查。它们并非在相同条件下进行的对照实验。

从中看见的机制

“需要第二步”还不够，还要问第二步确认了什么。

可以输入的一次性码，仍可能被人交到错误页面。抗钓鱼认证则会把验证与正确的网站身份联系起来。硬件产生一个码，与硬件参与核对登录对象，不是同一机制。

这也说明，防护可以分两层看：第一层阻止失陷，第二层限制失陷之后能接触多少东西。即使第一层没有完全成功，权限划分仍可能减少暴露范围。不能因为防护有局限，就把它归为“全无作用”。

日常应用

给重要邮箱和常用支付相关账户设置独立密码，并查看服务支持哪些验证方式。在可用、适合且恢复途径已经安排妥当时，优先考虑平台明确支持的抗钓鱼认证。不要为了追求一种方式，反而让自己只剩一个会遗失的登录凭据。

如果服务只支持普通验证码，也应把它当作一层保护使用。关键是不要在意外来电、聊天或不明页面里交出验证码，也不要批准自己没有发起的登录请求。

异常提示出现时，自己打开原有官方应用或已知网站处理。FTC 的防钓鱼指南同样强调通过独立取得的联系方式与机构确认。FTC 防钓鱼指南，S11

守法的迁移：允许人报告失误

如果你管理一个小团队，可以约定一句话：“点错了先说，先处理问题。”

这是一项组织建议，不是对所有人的心理预测。它的目的很具体：让从误点到处置之间少一道“我要不要先掩盖”的障碍。复盘时讨论入口、权限、恢复方式和工作安排，而不是只寻找一个应该更警觉的人。

练习： 查清一个重要账户使用的验证方式和官方恢复方式。先记下来，再决定是否需要调整；不要在尚未准备备用途径时一次性移除现有登录方法。