邮箱、支付、社交账号都开二次验证，优先用手机弹窗确认，其次才是短信验证码
第 14 节 · 账号与信息安全 · 第 1 条 · A 级证据 · 性价比极高
二次验证是指登录时除了密码，还要再确认一次是不是本人。用手机上弹个窗、你点一下确认的办法，九成以上的钓鱼盗号都被拦住了，短信验证码比弹窗容易被骗走。靠回答「上次在哪登的」「备用邮箱是什么」这种老办法，钓鱼盗号最少的只拦下一成。
谁该做，谁先别做
邮箱里存着银行卡、证件照片、找回密码邮件的人最该先开，其次是支付和社交账号。换手机前先加好备用方式，不然可能把自己挡在外面。
花掉什么
不花钱。每个账号设置一次，两三分钟就设完。
换回什么
谷歌统计了 35 万次真实的盗号尝试（也叫账号劫持）。一类是靠设备来验证，比如手机上弹窗让你点确认，或者插一把安全密钥。这一类拦下了「超过 94% 源于钓鱼的劫持尝试和 100% 的自动化劫持尝试」。钓鱼是指骗你在假网站上输密码，自动化是指机器拿泄露的密码批量去试。另一类是靠回答问题来验证，比如问你上次在哪登录、备用邮箱是什么。这一类「只拦下了低至 10% 的钓鱼劫持和 73% 的自动化劫持」。同属设备验证，短信验证码比手机弹窗弱。钓鱼的人答对了 4% 的短信验证码，弹窗只骗到 1%。专门盯着某个人的定向攻击里，短信只拦下 76%，弹窗拦下 90%
怎么做 · 三步
- 先给邮箱开二次验证，别的账号大多能用邮箱找回密码
- 优先选手机弹窗确认，短信验证码放在第二选择
- 验证码只自己用，别替别人报码；换手机前先加备用方式
关键数字
- 94%
- 手机弹窗这类设备验证拦下的钓鱼盗号比例
- 100%
- 同一类验证拦下的自动化盗号比例
- 10%
- 靠回答问题来验证拦下的钓鱼盗号比例
常见坑
这类验证有时会把本人挡在外面，52% 的真用户第一次没登进去，不过最后 97% 还是进去了。
作者备注
同一项研究也发现，这类验证有时会把本人挡在外面。52% 的真用户第一次没登进去，不过最后有 97% 还是进去了。先给邮箱开这个功能，因为别的账号大多能用邮箱找回密码。验证码只自己用，替别人报码、刷脸会背上什么，见第 8 节第 45 条（念验证码）
出处
Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
政策、补贴、截止日期会变。真正办事、看病、打官司，请以当地部门、医生和律师的意见为准。
相关的几条同一口径：钱 · 跨章节
这一节还有第 14 节 · 共 12 条
- 2邮箱密码单独一个，不和任何网站重复别的网站被偷走的密码，会被人拿来直接登你的邮箱。邮箱一旦被人登进去，凡是能用邮箱找回密码的账号，都跟着一起丢。所以邮箱的密码要单独一个，别的地方一律不用。
- 3手机设锁屏密码，SIM 卡设 PIN 码SIM 卡就是手机里那张小卡片，短信验证码靠它来收。手机丢了，捡到的人可能把这张卡拔下来，插进别的手机收验证码，再挨个重置你的账号。给卡设一个 PIN 码，卡换到别的手机上，一开机就要先输这个码，这条路就断了…
- 4手机丢了按这个顺序做：挂失 SIM 卡、远程锁定、改密码、报警、冻结银行卡顺序比手快更重要。第一步挂失 SIM 卡，验证码这条命脉就断了。接着远程锁住手机，再用电脑改邮箱和支付密码，然后报警拿回执，最后看情况冻结银行卡。手机不在身上，借别人的手机打运营商客服也能挂失。
- 5卡被盗刷先挂失冻结再报警，然后要求银行赔：证明「是你自己刷的」是银行的责任卡被人盗刷，你要先拿出报警记录、挂失记录这类证据。银行说这笔是你本人刷的，要由银行拿证据，拿不出就得赔你。前提是你一发现就挂失冻结。拖着不挂失，后面多出来的损失要自己承担。
- 6每隔一段时间看一次账号的登录设备和已授权应用，不用的清掉「登录设备」是指现在还能用你账号的那些手机和电脑。列表里冒出你不认识的设备，或者早就不用的软件还连着你的账号，就先改密码，再退出全部登录。邮箱还要看一眼，有没有你没设过的自动转发。
- 7别为了用 App 点「全部同意」：不是必需的信息，你不同意也不能拒绝给你服务App 要你的信息，如果不是提供这项服务必须用的，你不同意给，它不能因此不让你用。它能收的，也只限于用得着的那些。地图要你的位置是必须的，手电筒要你的通讯录就不是。