邮箱、支付、社交账号都开二次验证，优先用手机弹窗确认，其次才是短信验证码
第 14 章 · 第 1 条 · 账号与信息安全
- 花的钱
- 0 元
- 花的时间
- 少
- 需要的毅力
- 否
- 收益量级
- 大
- 衡量口径
- 金钱
说人话
二次验证是指登录时除了密码，还要再确认一次是不是本人。用手机上弹个窗、你点一下确认的办法，九成以上的钓鱼盗号都被拦住了。靠回答「上次在哪登的」「备用邮箱是什么」这种老办法，钓鱼盗号只能拦下一成左右。
收益
谷歌统计了 35万次真实的盗号尝试（也叫账号劫持）。一类是靠设备来验证，比如手机上弹窗让你点确认，或者插一把安全密钥。这一类拦下了「超过 94% 源于钓鱼的劫持尝试和 100% 的自动化劫持尝试」。钓鱼是指骗你在假网站上输密码，自动化是指机器拿泄露的密码批量去试。另一类是靠回答问题来验证，比如问你上次在哪登录、备用邮箱是什么。这一类「只拦下了低至 10% 的钓鱼劫持和 73% 的自动化劫持」
备注
同一项研究也发现，这类验证有时会把本人挡在外面。52% 的真用户第一次没登进去。不过最后有 97% 还是进去了。先给邮箱开这个功能，因为别的账号大多能用邮箱找回密码
免责通用口径说明
本书 / 本站点提供的是通用口径，不替代医生、律师、会计的专业判断。涉及具体病情、案件、税务的，请找对应专业人士。
会员深度解读（即将上线）
付费会员可解锁每条建议的「为什么值 / 怎么落地 / 风险提醒」深度版。Phase 1 免费，开关已预留。
相关建议（同场景 / 同口径）
常见问题
怎么看证据等级 A / B / C？ +
A 级表示有研究或数据支撑；B 级是较成熟的经验共识；C 级是常识或经验判断，仅供参考。等级越高越值得优先参考，但都要结合自身情况。
这些建议能直接照做吗？ +
大部分是低成本、可试错的日常决策，可直接参考；但凡涉及医疗、法律、税务、投资的内容，本站仅作为学习案例呈现，不替代医生、律师、会计师或投资顾问的个性化意见。
内容会一直更新吗？ +
会。自动化管线每天新增内容并经合规校验后发布，相关场景与检索结果会同步刷新；你可以收藏常用条目（仅保存在本机浏览器）。