別讓安全成為負擔：中小企業推行 MFA 的「零痛感」方案 / MFA without Friction
分類：網絡安全 | 日期：2025-11-01
最後更新：2026年10月 | 由 IT SUPPORTKING 技術團隊編寫
一句答案：員工抗拒 MFA，通常不是抗拒安全，而是抗拒麻煩。2026 年的正確做法是直接跳過 SMS 短訊驗證碼，改用 Microsoft Authenticator 的手機推送批准，或者 Passkey（指紋 / 面容辨識）——這些方式比驗證碼更安全，用起來卻比純密碼更順。安全和方便，本來就不應該是二選一。
為什麼 SMS 驗證碼是最差的 MFA
很多公司推 MFA，第一步就是開 SMS 驗證碼，結果員工怨聲載道，最後不了了之。但 SMS 其實是各種 MFA 方式裡最弱的一種：
- SIM 卡劫持：攻擊者冒充你去電訊商補領 SIM 卡，你的驗證碼就直接送到他手上。香港這類案件時有發生。
- 釣魚照樣中招：假登入頁面可以即時把你輸入的驗證碼轉發去真網站，SMS 擋不住中間人釣魚。
- 體驗最差：等短訊、收不到、轉台收不到、漫遊收不到——每一個都是員工討厭 MFA 的理由。
結論：與其推一個又弱又煩的方案，不如一步到位用更好的。
三種「零痛感」驗證方式，怎麼選
1. 手機推送批准（最適合大多數人）
登入時手機彈出通知，顯示登入地點和裝置，按「批准」就完成。比打六位數字快得多，而且會顯示異常登入的位置——例如你明明在香港，卻看到有人在外地嘗試登入，一眼就能識破並按拒絕。這是我們幫客戶部署時的首選，接受度最高。
2. Passkey / 生物辨識（最順）
用電腦指紋、Windows Hello 面容或手機 Face ID 直接登入，不用再記密碼、不用再等驗證。Passkey 的原理是裝置裡的私鑰做簽名，釣魚網站拿不到任何可以重用的東西，安全性比驗證碼高得多。適合每天要登入十幾次系統的同事。
3. FIDO2 安全密鑰（給管理員）
一支 USB / NFC 實體鑰匙，插上或碰一下就完成驗證。適合網域管理員、財務系統這種高權限帳號——就算密碼洩漏，沒有這支實體鑰匙也登入不了。建議管理員帳號人手一支，平時鎖在抽屜裡。
推行步驟：不要第一天就強制全公司
根據我們協助客戶的經驗，這樣推阻力最小：
- 先從 IT 和管理層開始。管理員帳號權限最大，應該最先上 FIDO2 密鑰；管理層先用推送批准，做出示範。
- 設兩星期適應期。先開「提醒模式」：登入時提示設定 MFA 但暫不強制，讓大家有時間裝 App、綁定裝置。IT 支援要在這兩星期隨時候命。
- 適應期後全面強制。在 Microsoft 365 用條件式存取政策強制所有帳號用 MFA，不設例外——例外帳號就是攻擊者的目標。
- 準備好後備驗證方式。每個人至少綁定兩種方式（例如手機推送 + 備用電話），避免換手機、遺失手機時被鎖在門外。換手機的轉移流程要預先寫好指引。
常見問題 FAQ
Q: 有些前線員工沒有公司手機，怎麼辦？
A: 幾個做法：允許他們在私人手機裝 Authenticator（只做驗證，不管理手機，私隱沒影響）；或者發 FIDO2 安全密鑰，一支可以用很多年，不用手機也行；地盤、倉庫這種環境，也可以考慮共用裝置配合條件式存取。總之「冇手機」不是豁免 MFA 的理由，只是換一種方式做。
Q: 換手機時，MFA 要怎麼轉移？會不會被鎖死？
A: 這是最常見的求救電話。正確流程是：換手機前先在舊手機的 Authenticator 做備份 / 轉移，或者預先綁定第二種驗證方式。如果已經被鎖，管理員可以在後台重設該用戶的 MFA，讓他重新綁定——所以公司一定要有至少兩個有權限重設 MFA 的管理員，避免單點故障。我們會幫客戶把這套流程寫成文件。
Q: 管理員帳號有什麼特別保護建議？
A: 管理員帳號是攻擊者的頭號目標，建議：日常工作用普通帳號，管理員帳號只在需要時用；管理員帳號強制用 FIDO2 實體密鑰，不接受推送批准（推送可能被疲勞轟炸批准）；管理員帳號不要綁定私人電郵做後備。這些設定我們在部署時會一次過做好。
Q: 推了 MFA 之後，還會被盜帳號嗎？
A: 機率大幅下降，但不是零。MFA 擋得住密碼洩漏和絕大部分釣魚，但擋不住員工主動把驗證推批准給騙徒（社交工程），也擋不住裝置本身中毒。所以 MFA 要配合 EDR 端點防護和員工安全意識一起做——安全從來都是多層的，沒有銀子彈。
想幫公司導入真正好用的 MFA，而不是又弱又煩的驗證碼？WhatsApp +852 6558 6806 聯絡 IT SUPPORTKING，我們幫你設計和部署。