公共 Wi-Fi 一定要用 VPN 嗎？

不必把購買 VPN 當成個人資安的第一步。先完成重要帳號的唯一密碼與 MFA、裝置更新、備份，並且不要忽略瀏覽器的憑證或安全警告。若公司規定使用 VPN、需要處理高度敏感資料，或無法確認網路可信度，就遵循組織政策或改用自己的行動網路。

手機遺失後，Passkey 還拿得回來嗎？

視 Passkey 儲存與同步方式而定。若由平台帳號或密碼管理器同步，通常可在通過該服務的身分驗證後於新裝置取回；若是綁定特定裝置的憑證，就需要另一個登入方式。設定時應同時準備第二台可信裝置、另一個驗證器或離線復原碼。

密碼要多久換一次？

不要只因日曆到了就換。更重要的是每個服務使用不同且夠長的密碼；收到外洩通知、發現重複使用、看見陌生登入，或懷疑帳號失守時，才應立即更換並登出其他裝置。

只點了釣魚連結但沒輸入資料，需要改密碼嗎？

不一定，但不能直接當作沒事。先關閉頁面，不要下載或安裝任何檔案，更新裝置與安全軟體並檢查帳號近期活動。若曾輸入帳密、核准登入、提供驗證碼，或裝置出現異常，就應從可信裝置更換密碼並重設驗證與復原資料。

如何幫家人設定資安，又不掌握他們全部密碼？

先取得同意並陪同設定，讓帳號仍由本人掌握。可以協助保存必要的緊急復原資訊、建立家庭共享保管庫中的指定項目，或約定遇到轉帳、驗證碼與安裝 App 的要求時先打電話一起查證；不需要接管對方全部帳號或監看所有活動。

一般人的個人資安防護指南：30 分鐘先守住帳號，再學會識破詐騙

個人資安最難的地方，通常不是設定本身，而是建議太多：密碼要改、雙重驗證要開、系統要更新、資料要備份，還有人叫你買 VPN、防毒軟體和硬體金鑰。每件事都像是現在不做就會出事，結果反而不知道從哪裡開始。

先抓住一個原則：優先保護那個失守後能拖垮最多帳號的地方。 對多數人來說，這通常是主要電子郵件，以及 Apple、Google 或 Microsoft 主帳號。它們不只用來登入，也常接收其他服務的密碼重設信、同步裝置與保存重要資料。

下面的「30 分鐘」是一套執行順序，不是每個人都能在相同時間完成的保證。今天先做完最高影響的設定，比研究一週後仍停在原地有用。

已經誤點連結、交出密碼、安裝不明 App 或匯款？ 先不要照一般清單慢慢做，直接跳到前 10 分鐘四路分流。

TL;DR

先保護主要信箱、平台主帳號、金融與通訊帳號；檢查復原資料、陌生裝置與多因素驗證。
密碼重點是夠長、每站不同、能安全管理。服務有 Passkey 時優先考慮，否則至少啟用自己能持續使用的 MFA。
可疑訊息一律「停、離、查」：停止互動、離開原訊息、自己從官方 App、網址或電話重新查證。
開啟系統與 App 自動更新，替重要照片和文件保留可還原的備份；復原方式不要全部押在同一支手機。
出事先判斷是只點擊、交出帳密、安裝軟體，還是已涉及金錢，再決定前 10 分鐘的處理順序。

先找出你的「根帳號」：30 分鐘最低防護清單

本文說的「根帳號」不是電腦裡的超級管理員，而是能替許多其他服務重設密碼或恢復登入的帳號。它的安全優先級，不該只看你每天打開幾次，而要看失守後能造成多大擴散。

優先級	帳號類型	為什麼先處理
1	主要電子郵件、Apple／Google／Microsoft 主帳號	可重設其他帳號，還可能控制裝置、雲端檔案與同步資料
2	網銀、信用卡、支付與證券帳號	可能直接造成金錢損失
3	LINE、WhatsApp、社群帳號	可冒充你向親友借錢、散播惡意連結或取得更多個資
4	購物、論壇與一般服務	仍需保護，但通常可排在前三類之後

FTC 的帳號復原指引特別提醒，電子郵件可以接收其他服務的密碼重設連結；信箱一旦被接管，攻擊者可能沿著這條路往下游移動。因此第一步不是把所有帳號一起重設，而是先打開主要信箱的安全設定。

把 30 分鐘拆成三個小段，比一次看完所有設定更容易開始：

前 10 分鐘：打開主要信箱或平台主帳號的「安全性／登入與安全」頁面，確認復原電話、復原信箱與已登入裝置。
第 10–20 分鐘：決定沿用現有密碼管理方式或換一套新的；先處理根帳號的重複密碼，不必今天搬完全部帳號。
第 20–30 分鐘：啟用 Passkey 或 MFA，保存復原碼，確認至少有一個備援方式不只存在主手機裡。

找不到設定入口時，可以在服務的官方說明中心搜尋「安全性」「登入活動」「兩步驟驗證」或「Passkey」。介面名稱會改動，所以本文不提供可能很快失效的逐頁路徑。時間到了仍沒完成，也先停在已做好的高優先帳號；更新、備份與其他帳號放到本週繼續。

按這個順序做第一輪檢查：

確認復原信箱與電話仍由你控制，刪除不認識的資料。
檢查最近登入活動與已登入裝置，登出陌生或不再使用的裝置。
啟用 Passkey 或多因素驗證，並準備獨立的備援方式。
如果密碼曾在別處使用，先換成這個帳號專用的密碼。
對金融、支付與主要通訊帳號重複以上步驟。
開啟作業系統、瀏覽器與常用 App 的自動更新。
確認最重要的照片、文件與聯絡人至少有一份可還原備份。

做到這裡，並不表示你從此不會受騙；它代表單一密碼外洩或單一裝置遺失時，攻擊者比較難把整個數位生活一起帶走。

密碼不是越花俏越好：先消滅重複使用

如果你還在每三個月把 MyPassword1! 改成 MyPassword2!，可以先停下來。這種固定變化看似勤勞，規律卻很容易預測。

NIST 2025 年正式版數位身分指引把單因素密碼的最低長度定為 15 字元，也不建議服務強制固定週期換密碼或要求特定字元組合。重點是密碼夠長、沒有出現在常見或外洩名單、每個服務都不同；有失守證據時才立即更換。台灣資安署也建議民眾採用至少 15 字元密碼，並使用密碼管理工具。

你不必在一天內搬完所有密碼。比較可行的順序是：

今天：主要信箱、平台主帳號與金融帳號。
接下來：密碼管理器標示為重複、外洩或太弱的帳號。
其餘帳號：下次登入時再生成新的唯一密碼。

密碼管理器不是零風險的魔法保險箱，它把很多憑證集中管理，因此主密碼、MFA 與復原方式本身必須保護好。第一次導入也會有學習與搬移成本；先確認工具的官方復原方法，再開始更改根帳號密碼，避免改完才發現自己不知道如何取回密碼庫。但相較於重複使用少數密碼、把明文試算表放在隨身碟，或因為記不住而使用短密碼，它通常更能讓「每站不同」成為可持續的習慣。

主密碼不能只存在自己的短期記憶裡，也不要和整個密碼庫放在同一個會一起遺失的位置。依工具支援情況準備緊急恢復資料，或將一份紙本緊急資料存放在安全處；若要交由可信家人保管，先取得彼此同意並說清楚何時才能使用。不同工具的復原能力不同，因此不要假設客服一定能替你解鎖。

選擇時不用先比較幾十個品牌，先確認三件事：能在你的常用裝置使用、支援 MFA 或 Passkey、遺失裝置後有你看得懂的復原方式。平台內建、跨平台雲端與離線工具各有取捨；能持續使用並備份，才比理論上最強卻放棄使用的方案好。

Passkey、驗證器 App、簡訊 OTP 怎麼選？

「有開雙重驗證」不是單一安全等級。不同方法抵抗釣魚的能力不同，失去手機後的恢復方式也不同。Passkey（通行密鑰）會使用裝置解鎖方式確認是你本人，登入時不需要把可重複使用的密碼交給網站。

方法	抗典型假網站釣魚	裝置遺失時	適合情境
只有密碼	低	可用復原信箱重設，但密碼被偷就失去主要防線	服務沒有其他選項時的最低限度
簡訊 OTP	低至中；驗證碼仍可被騙走	依賴門號與電信商復原	服務只提供簡訊時，仍通常比只有密碼多一層
驗證器 App	中；一次性密碼仍可輸入假網站	需轉移、同步或使用復原碼	多數未支援 Passkey 的重要帳號
Passkey／安全金鑰	高；驗證會綁定正確服務	需平台同步、第二裝置或備用金鑰	服務支援，而且你已準備備援時

表中的「低／中／高」只比較抵抗典型假登入網站竊取憑證的相對能力，不是正式認證等級，也不代表能涵蓋每一種攻擊。

NIST 指引指出，密碼與手動輸入的一次性驗證碼本身不具抗釣魚性；英國 NCSC 的 Passkey 說明則解釋，Passkey 不會像密碼一樣被攔截後拿到別處重用。

實際選擇可以很簡單：服務提供 Passkey，就優先設定；沒有 Passkey，就用驗證器 App；只提供簡訊，仍建議開啟，不要因為它不是最強就退回只有密碼。無論哪一種，密碼、OTP、備用碼與登入核准都不能交給來電者或訊息中的「客服」。

Passkey 也不能阻止所有詐騙。如果對方騙你自行匯款、安裝遠端控制 App，或分享畫面中的備用碼，抗釣魚登入並不會代替你取消那些操作。它解決的是憑證被假網站竊取與重用，不是所有社交工程。

不要跟詐騙比眼力：記住「停、離、查」

過去常見的建議是檢查錯字、Logo 與網址。但訊息可以寫得很自然，來電顯示也可能被偽造。比較可靠的規則，是直接離開對方設計的操作路徑。

停：不點連結、不下載、不回覆、不核准登入，也不照著電話操作轉帳。
離：關閉訊息、掛斷電話，退出對方製造的緊迫情境。
查：自己打開官方 App、手動輸入已知網址，或撥打卡片背面與官網列出的電話。

台灣資安署 2026 年的假冒政府警示提醒民眾，不要透過可疑短網址下載所謂防護元件，也不要提供個資或依指示轉帳。FTC 的釣魚指南同樣建議，不使用訊息內提供的聯絡方式，而是改用自己已知為真的網站或電話查證。

這裡要避免另一個過度簡化：「合法機構絕不會主動聯絡你。」銀行、電信商或平台確實可能通知異常；安全做法不是在電話中爭辯真假，而是掛斷後自己回到可信入口查證。

任何人透過電話、訊息或視訊要求你提供密碼、OTP、備用碼、登入核准，或分享螢幕查看這些資料，都應先停止。若可疑內容是「保證獲利」「名人帶單」或「全自動副業」，可再用這篇AI 副業詐騙查核指南檢查承諾與付款路徑。

更新、備份與復原資料：別把安全全押在同一支手機

更新、備份與帳號復原很容易被混成一句「記得做好資安」，其實它們處理的是三種不同失敗。

防線	主要解決什麼	現在就能做的事
自動更新	修補已知軟體漏洞	開啟手機、電腦、瀏覽器與常用 App 自動更新
資料備份	裝置遺失、故障或惡意程式造成的永久資料損失	選出重要照片與文件，備份到可信雲端或外接裝置
帳號復原	手機遺失、驗證器失效或本人被鎖在帳號外	準備第二個登入方式或離線復原碼

CISA 的 Secure Our World把及時更新列為一般使用者的四項基本防護之一。備份則不能阻止帳號被盜，但 NCSC 的備份指南指出，它能讓你在資料無法存取時從副本恢復；外接硬碟不用時應移除連線，避免連線中的備份一起受惡意程式影響。

最低可行的備援不需要變成無限套娃：

根帳號保留一個不依賴主手機的登入方式。
復原碼離線保存在只有你或經同意的可信家人能取得的位置。
重要資料至少有一份不只存在原裝置上的副本。
實際打開一個備份檔案，確認它不是只有圖示、沒有內容。

每半年，或在換手機、門號、主要信箱時檢查一次，是方便記憶的編輯建議，不是官方規定的硬性週期。真正重要的是：設定改變時同步更新復原資料。

已經出事怎麼辦？前 10 分鐘四路分流

先別責怪自己，也不要只在可能已被監看的裝置上反覆改密碼。先判斷對方到底拿到了什麼。

1. 只點擊連結，沒有輸入資料或安裝檔案

關閉頁面，不要再次開啟，也不要下載任何東西。更新作業系統、瀏覽器與安全軟體，檢查重要帳號的近期登入活動。更新與掃描只是基本止血，不代表已證明裝置百分之百安全。 若裝置開始出現陌生 App、跳轉、彈窗或登入通知，就升級處理，不要再輸入密碼，並向裝置原廠、公司 IT 或可信技術人員求助。

2. 已輸入密碼、OTP、備用碼或核准陌生登入

改用另一台可信裝置，先更換受影響帳號密碼，再換掉所有使用相同密碼的帳號。登出全部裝置、重設 MFA 與復原資料，並移除不認識的登入方式。主要信箱還要檢查「自動轉寄」設定，確認沒有人把你的新信件偷偷轉到另一個信箱；FTC與 NCSC都把這些列為帳號取回後的重要清理步驟。

3. 已安裝不明 App、手機管理設定或讓對方遠端控制

先斷開網路，停止在該裝置輸入任何密碼。用另一台可信裝置處理根帳號與金融帳號，並向裝置原廠、公司 IT 或你信任的技術人員求助。不要接受陌生私訊提供的「代移除病毒」或「代恢復帳號」服務，避免二次受騙。

4. 已提供信用卡、銀行資料或完成匯款

立即聯絡銀行、信用卡公司或支付服務，詢問止付、掛失與爭議款處理；保留電話、訊息、帳號、網址、交易紀錄與時間。接著可透過警政署 165 全民防騙網查證、檢舉或依指示報案。處理得快可能增加攔阻機會，但任何指南都不能保證款項一定追回。

帳號取回後，檢查下游服務是否被改密碼或復原信箱，並通知可能收到冒名訊息的親友。事故復原不是只把登入拿回來，而是切斷攻擊者留下的下一條路。

哪些可以晚點做？避免把資安變成工具購物清單

完成前面的基線前，不必急著買齊所有安全產品。先用這張優先表：

時間	優先事項
今天	根帳號、金融與通訊帳號；唯一密碼、MFA、復原資料、陌生裝置
本週	其餘重複密碼、自動更新、重要資料備份、一次復原檢查
依風險再做	付費 VPN、額外防毒、硬體安全金鑰、家庭網路隔離與進階監控

「依風險再做」不代表那些工具沒有用。記者、倡議者、管理大量資產的人、處理敏感工作資料的人，或曾遭針對性攻擊的人，威脅模型與一般使用者不同，可能需要更強的裝置隔離、安全金鑰與專業協助。公司設備則應遵守雇主的 IT 與資安政策，不用本文取代組織規範。

如果你只是想保護日常帳號，現在先打開主要信箱：檢查復原電話、已登入裝置與 MFA。若這三項已完成，就移到金融與通訊帳號；如果你已經看到陌生登入或交易，停止一般設定，直接走前面的事故分流。30 分鐘只承諾幫你排出並開始最高優先事項，不代表完成所有帳號。資安不是把每個帳號防到滿分，而是先避免一個失守點拖垮全部生活，並保留本人能走回來的路。