14-1 · 账号与信息安全
邮箱、支付、社交账号都开二次验证，优先用手机弹窗确认，其次才是短信验证码
性价比 极高证据等级 A指标 金钱
说人话
二次验证是指登录时除了密码，还要再确认一次是不是本人。用手机上弹个窗、你点一下确认的办法，九成以上的钓鱼盗号都被拦住了，短信验证码比弹窗容易被骗走。靠回答「上次在哪登的」「备用邮箱是什么」这种老办法，钓鱼盗号最少的只拦下一成。
成本
不花钱。每个账号设置一次，两三分钟就设完。
收益
谷歌统计了 35 万次真实的盗号尝试（也叫账号劫持）。一类是靠设备来验证，比如手机上弹窗让你点确认，或者插一把安全密钥。这一类拦下了「超过 94% 源于钓鱼的劫持尝试和 100% 的自动化劫持尝试」。钓鱼是指骗你在假网站上输密码，自动化是指机器拿泄露的密码批量去试。另一类是靠回答问题来验证，比如问你上次在哪登录、备用邮箱是什么。这一类「只拦下了低至 10% 的钓鱼劫持和 73% 的自动化劫持」。同属设备验证，短信验证码比手机弹窗弱。钓鱼的人答对了 4% 的短信验证码，弹窗只骗到 1%。专门盯着某个人的定向攻击里，短信只拦下 76%，弹窗拦下 90%
原文怎么说
Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). <https://doi.org/10.1145/3308558.3313481>
备注
同一项研究也发现，这类验证有时会把本人挡在外面。52% 的真用户第一次没登进去，不过最后有 97% 还是进去了。先给邮箱开这个功能，因为别的账号大多能用邮箱找回密码。验证码只自己用，替别人报码、刷脸会背上什么，见第 8 节第 45 条（念验证码）
参考文献
相关条目
第 14 节其余 11 条
- 14-2邮箱密码单独一个，不和任何网站重复
- 14-3手机设锁屏密码，SIM 卡设 PIN 码
- 14-4手机丢了按这个顺序做：挂失 SIM 卡、远程锁定、改密码、报警、冻结银行卡
- 14-5卡被盗刷先挂失冻结再报警，然后要求银行赔：证明「是你自己刷的」是银行的责任
- 14-6每隔一段时间看一次账号的登录设备和已授权应用，不用的清掉
- 14-7别为了用 App 点「全部同意」：不是必需的信息，你不同意也不能拒绝给你服务
- 14-8你有权查看、复制、更正和删除自己的个人信息，被拒绝可以起诉
- 14-9刷脸不是必须答应的：有别的办法就不能只让你刷脸，你不同意得给你其他方式
- 14-10别把代码、密钥和隐私资料交给来路不明的「AI 中转站」，让 AI 自动执行命令时尤其如此
- 14-11每年查一次自己名下有几张电话卡、几张银行卡，查出不是自己办的就去注销
- 14-12换手机号、不用旧号之前，先把银行、支付和社交账号改绑到新号上，别让旧号欠费停机了事