MFA
該標籤下有 9 篇文章
FortiBleed（FortiGate 憑證外洩，約 74,000 台裝置）：並非新漏洞，管理員與 VPN 密碼必須更換
FortiBleed 是 FortiGate 管理員與 SSL VPN 憑證的大規模外洩與濫用事件。FortiGate 是 Fortinet 的防火牆與 VPN 設備。2026 年 6 月 18 日，CISA 警告與約 74,000 台裝置相關的憑證已經外洩。6 月 19 日，Fortinet 表示這並非新漏洞，活動可能涉及重複使用先前事件的憑證，以及對採用弱密碼且未啟用多因素驗證之裝置進行暴力破解。6 月 23 日，JPCERT/CC 發布通報，表示已確認外洩資料包含與日本企業相關的資訊。10 月 6 日，FBI 與美國特勤局警告活動仍在持續，部分管理員已被鎖在設備之外，且此入侵途徑已被用作勒索軟體的切入點。升級至修補後的韌體並不會使已外洩的密碼失效。本站結論：若您使用 FortiGate，請更換管理員與 VPN 密碼、強制啟用多因素驗證、將管理介面移出網際網路，並移除管理員密碼的舊版 SHA-256 副本。
大家都怎麼保管密碼？數據怎麼說——以及安全的做法
具代表性的調查顯示，約 54% 靠記憶、約 33% 把密碼寫在紙上，只有約 36% 使用專用的密碼管理器——而約 25% 會重複使用密碼。同時，Verizon 的 DBIR 發現約 38% 的資料外洩涉及憑證遭竊，且外洩資料中約 74% 的密碼都是重複使用的。簡單說：最普遍的保管習慣，最容易被攻擊者利用。安全的基本做法是密碼管理器（每個網站一組唯一密碼）＋為重要帳號加上 passkey／MFA。
AI 時代的安全防護｜個人開發者現在就該夯實的基本功（按優先級排序的清單）
AI 強化的不是『新弱點』，而是『自動、大規模地利用既有弱點』那一側。所以比起特別的新對策，按正確的順序夯實基本功才是最好的準備。CVE 立即打修補程式＋相依套件監控、停止重複使用密碼＋MFA、清除暴露的機密、最小權限、收縮公開面、記錄/IOC 的準備、備份——全都用一份按優先級排序的清單講清楚。
什麼是網路釣魚（Phishing）？手法種類，以及比「識破」更可靠的防禦
網路釣魚是冒充可信對象、誘導你進入偽造的登入頁面等，竊取憑證或個人資訊（或誘使你執行惡意軟體）的詐騙。它的特點是攻擊『人的判斷』而非軟體漏洞，是勒索軟體與資訊外洩最大的入侵入口。如今有以假亂真的假網站連一次性驗證碼都即時中繼的中間人型(AiTM)，連SMS/應用程式的MFA也可能被突破。可靠的防禦不是『識破的注意力』，而是與網域繫結的抗釣魚MFA(通行金鑰/實體金鑰)、不點連結而直接存取官方、以及郵件認證(SPF/DKIM/DMARC)。
多因素認證(MFA)如何正確選擇：比 SMS 更強的「抗釣魚」是什麼
MFA 結合不同類別的因素。手動輸入的驗證碼可能被釣魚中繼，SMS 也依賴對手機號碼的控制。重要帳戶應優先考慮通行金鑰或 FIDO2 安全金鑰等抗釣魚方式，並檢查使用者驗證要求與復原流程。
密碼管理器安全嗎？運作原理與雲端、本機的區別，以及如何選擇
密碼管理器協助你為每項服務使用強且不重複的密碼。零知識加密旨在提供方外洩加密資料時保護內容，但安全性還取決於主密碼強度、加密設定和裝置安全。透過 MFA 防止未經授權的登入，並按用途選擇雲端型或本機型。
個人開發 / 小規模維運的安全底線：按優先順序列出業界標準的對策
最低限度的對策並非『全都一樣重』。本站的優先順序 ＝ ①管理帳號、網域與郵件（多因素驗證）②金鑰與程式碼 ③應用程式本體 ④修補 / 偵測 / 還原。資源有限的個人，按這個順序從上往下填才是正解。多數事故並非新型攻擊，而是這些基本對策的缺口造成的。
安全使用手機的基礎：保護集中了密碼、支付與身分證的那一台裝置
手機把二要素、郵件、銀行、身分證集中到一台裝置上，所以遺失會同時影響許多服務（單點故障）。最有效的防護不是安全 app，而是①強鎖定畫面＋短自動鎖定（密碼就是加密的鑰匙）②OS／app 自動更新 ③官方商店＋權限複查 ④事先設好遺失時的遠端鎖定／清除 ⑤二要素的「備份」（紙本備份碼）。OS 預設已做加密與沙箱隔離。
把密碼存到 Google Drive 安全嗎？正確的保管方法
把密碼以明文存在 Google 文件／試算表裡很危險：一個 Google 帳號會成為所有密碼的單點故障，帳號被盜、惡意的關聯應用程式或釣魚，都能讓所有密碼一次外洩。最安全的選擇是專用密碼管理器（即使同步，內容也保持加密）。如果非用 Drive 不可，只存放加密的 vault 檔案，並為帳號開啟抗釣魚 MFA。