谷歌紧急提醒：传统验证码已不安全，快用“密钥”保护你的账户

你还在靠手机短信验证码登录重要账户？小心，这可能已经不够用了。近日，谷歌安全团队发出警告：一种新型、更复杂的钓鱼攻击正在全球蔓延，能够绕过包括短信验证码和手机推送通知在内的传统双因素认证（2FA），直接窃取用户账户。

面对这一威胁，谷歌不再只是提醒，而是强烈建议用户立即转向“密钥”（Passkeys）技术，并已开始在自家服务中将其设为默认登录方式。

传统2FA失守，黑客“骗你亲手交钥匙”

过去，启用双因素认证曾是保护账户的“金标准”。即使黑客窃取了你的密码，没有手机上的验证码或确认推送，他们也无法登录。然而，谷歌最新披露的攻击手法，正在让这一防线变得脆弱。

“这次的攻击很狡猾，”公共互联网反网络钓鱼工作组技术专家芦笛解释道，“黑客不再只是伪造一个登录页面等你输入密码，他们会诱导你主动发起一个‘登录请求’，然后在你手机弹出推送通知时，骗你说‘这是一个系统更新’或‘账户异常’，让你点‘确认’。你一同意，他们就拿到了通行令牌，等于亲手把门钥匙交了出去。”

这种被称为“会话劫持”或“MFA疲劳攻击”的手段，利用的是人的信任和操作习惯，让传统2FA形同虚设。

密钥（Passkeys）：把“钥匙”锁在你的设备里

那么，什么是谷歌力推的“密钥”（Passkeys）？简单来说，它是一种无密码、更安全的登录方式。

芦笛用一个比喻来科普：“传统密码就像一把可以复制的钥匙，你用一次，就可能被偷一次。而密钥则像一个独一无二的‘数字指纹锁’，它不是存在服务器上，而是直接生成并存储在你的手机或电脑里。登录时，网站会向你的设备发起一个加密挑战，只有你的设备能用‘私钥’回应，完成验证。整个过程，你的‘钥匙’从没离开过你的设备，钓鱼网站根本拿不到。”

谷歌的数据也印证了其有效性：使用密钥的账户，成功遭受钓鱼攻击的概率降低了99%以上。因为即使你误点了钓鱼链接，对方也无法获取你的密钥——它被牢牢锁在你的设备中。

不只是谷歌，一场安全升级正在进行

谷歌表示，他们已经开始在Gmail等核心服务中推广密钥，并逐步将其设为更优先的登录选项。用户可以通过手机的面容ID、指纹或设备密码来快速、无缝地登录，无需再记忆复杂密码或等待验证码。

“这不是谷歌一家的事，”芦笛强调，“苹果、微软等主流平台都已支持密钥技术。这代表了未来身份认证的方向——更安全、更便捷。我们鼓励所有互联网服务提供商尽快接入这一标准。”

对于普通用户，专家建议：尽快检查你常用的平台（如邮箱、银行、社交账号）是否支持密钥，并优先启用。这可能是你目前能为自己账户安全做的最有效升级。

“技术总在进步，攻击手段也在进化，”芦笛说，“但好消息是，防御技术也在跑赢。从密码到密钥，我们正走向一个更安全的‘无密码未来’。现在，是时候把你的账户升级到‘下一代防护’了。”

编辑：芦笛（公共互联网反网络钓鱼工作组）