MFA 多因素驗證與身份安全 | 企業實作指南

微軟的遙測數據顯示，啟用 MFA 的帳號遭到入侵的機率比未啟用的帳號低 99.9%。這個數字讓 MFA 看起來像是萬靈丹——但攻擊者早已發展出多種繞過 MFA 的技術，讓「有 MFA」和「MFA 真的有效」之間存在關鍵差異。

身分驗證的核心邏輯是：知道的（密碼）、擁有的（手機/硬體金鑰）、是你的（生物特徵）三者中至少結合兩種。但各種實作方式在安全強度上差異懸殊，選錯了 MFA 方法，可能給了企業虛假的安全感。

攻擊者如何繞過 MFA：你需要知道的四種手法

了解攻擊手法才能選擇正確的防禦工具：

① AiTM（中間人釣魚）攻擊

攻擊者架設代理釣魚網站，即時轉發目標輸入的帳密和 OTP 給真實網站，並竊取登入 Session Cookie。SMS OTP 和 TOTP App 均無法防禦此手法。Microsoft 和 Google 的帳號已被此技術大規模攻擊。
② MFA 疲勞攻擊（MFA Fatigue / Push Bombing）

攻擊者取得密碼後，持續觸發 Push 驗證通知，直到目標因煩躁或誤以為是自己操作而點選「允許」。Uber 在 2022 年的入侵事件就是通過此手法。啟用「數字比對（Number Match）」可有效降低此風險。
③ SIM 卡劫持（SIM Swapping）

攻擊者通過社交工程欺騙電信業者，將受害者的電話號碼轉移至攻擊者控制的 SIM 卡，從而接收所有 SMS OTP。這是 SMS-based MFA 的根本弱點，在台灣也有案例發生。
④ 社交工程繞過 MFA 重設流程

攻擊者偽冒 IT 支援人員，通過電話或郵件欺騙目標完成「帳號驗證」，從而觸發 MFA 重設並接管帳號。Twilio 和 Cloudflare 在 2022 年均遭受此類攻擊（Cloudflare 因部署硬體金鑰成功抵禦）。

FIDO2（Fast Identity Online 2.0）標準結合 WebAuthn 協議，提供目前最強的抗釣魚驗證機制。其核心原理是「網域綁定」：驗證過程使用來自裝置的加密簽章，簽章中包含合法網域資訊。即使攻擊者建立了外觀完全相同的釣魚網站，驗證也無法在錯誤的網域上完成。

Passkey 的三種形式

Platform Passkey（平台金鑰）

儲存在裝置安全晶片（iPhone Face ID、Android 指紋、Windows Hello），免費且便利，是未來主流。

Hardware Security Key（硬體金鑰）

YubiKey 等實體 USB/NFC 裝置，最高安全性，適合高權限帳號和高風險場景。

Cross-Device（跨裝置）

用手機掃描 QR Code 確認桌面登入，兼顧安全性與便利性，無需購買額外設備。

Google 內部案例

Google 在 2017 年要求所有員工使用硬體安全金鑰後，員工帳號的接管事件降為零。即使員工被釣魚郵件誘騙至惡意網站並輸入密碼，硬體金鑰的網域綁定機制也阻止了任何未授權登入。

並非所有帳號都需要相同強度的保護，根據帳號風險等級制定分層策略是務實的做法：

CRITICAL
系統管理員、域控、雲端 Root

硬體安全金鑰（FIDO2）+ 條件式存取策略（僅允許受管理裝置、特定 IP 範圍）

HIGH
高管、財務、HR、開發者

Passkey 或硬體金鑰優先；TOTP App 作為備用；禁用 SMS OTP

STANDARD
一般員工帳號

啟用數字比對的 Push 驗證或 TOTP App；逐步遷移至 Passkey

MFA FIDO2 Passkey 身分安全 AiTM 攻擊零信任

需要專業資安建議？

立即聯絡 Hexion Networks，協助評估貴公司的身分安全現況，規劃最適合的 MFA 升級路線。