指紋按下去不等於帳戶上鎖：日本證券業提醒的 Passkey 盲點，臺灣投資人也該逐項檢查

11 月 11 日，日本媒體報導日本證券業協會與多家證券公司，針對已啟用生物辨識 Passkey（通行密鑰）的證券帳戶疑似遭接管一事，向投資人發出提醒。訊息本身不長，但值得停下來看的原因在於：多數人以為換上指紋或臉部辨識登入，帳戶安全就升級完了。這次被點名的疑慮，恰恰發生在已經啟用 Passkey 的帳戶上。

先分清楚：生物辨識驗證的是誰，Passkey 證明的是什麼

可以把整個登入流程想成進公司大門刷兩次卡。第一次是手機上的指紋或臉部辨識，它確認的是「現在拿著這支手機的人，是不是手機的主人」。第二次是 Passkey 本身，它是一把存在裝置裡、或同步在雲端帳戶裡的加密金鑰，向證券公司的伺服器證明「持有這把鑰匙的人有權登入」。

這兩道卡各自守不同的門。指紋辨識再快再準，它只管第一道門；如果問題出在第二道門，例如 Passkey 被同步到一個早已被入侵的雲端帳戶，或裝置本身的憑證保管環境有狀況，指紋並攔不住。

值得注意的是，這次日方發布的提醒，並沒有證據顯示指紋或臉部辨識演算法本身被破解。被質疑的是帳戶與憑證的儲存環境。這個區別很重要：演算法沒被攻破，帳戶照樣可能被接管，因為攻擊者繞過的是別的環節。

生物辨識的天生限制：它給的是機率，不是保證

美國國家標準暨技術研究院（NIST）的數位身分指引寫得相當直接：生物特徵比對的結果是依門檻判斷出來的機率結論，不足以單獨確認使用者身分，應搭配實體驗證器等其他因素使用。

換個日常比喻：指紋辨識像一位眼力很好的警衛，他判斷「這張臉跟我登記的照片夠像」，就放行。但他永遠是在比對相似度，而不是查驗身分證。門檻調得太嚴，你自己天天被擋在門外；調得太鬆，長得像的人也可能通過。這就是為什麼資安標準從來不把生物辨識當唯一防線。

日本證券業協會的網路交易安全指引，也正是循這個邏輯，建議業者在登入、出金等重要操作上加強驗證強度，而非依賴單一驗證方式。

投資人可以實際檢查的清單

日本金融廳針對網路交易遭未授權登入的提醒，列出幾項券商端與投資人端都可對應的設定。整理成可逐項打開檢查的順序：

• 多因素驗證：確認券商 App 或官網的安全設定裡，重要操作是否要求第二種驗證因素，而非只有 Passkey。
• 登入通知：任何一次登入都收到推播或簡訊，讓陌生登入在第一時間暴露。
• 交易與出金通知：下單、出金各別通知，縮短發現異常的時間。
• 約定銀行帳戶變更通知與驗證：出金帳戶被改，往往是最後一道也被拔掉的防線，這項變更務必要求驗證並即時通知。
• 雲端帳戶的雙重驗證：Apple、Google 等負責同步 Passkey 的雲端帳戶，本身要開啟雙重驗證，並更新復原電話與電子郵件。這是最容易被略過的一環，因為它看起來跟券商無關，實際上卻握著鑰匙的備份。

通知的功能是縮短反應時間，它不能取代驗證設定本身。兩者是互補，不是替代。若真的收到陌生的登入或出金通知，處理順序是：從已收藏的官方網址或官方 App 聯絡客服，接著檢查登入紀錄與交易明細，並保留畫面。若涉及銀行端的可疑轉帳，臺灣讀者可參考我們先前整理的帳戶出現不明轉帳後的自保流程，從通報、報案留證到申訴期限都有步驟可循。

所以呢：安全設定是一次性的作業，不是一次性的事件

這次日方提醒對臺灣投資人的實際意義，可以收斂成一句可執行的話：打開你的券商 App，今天把上面五項逐一檢查一遍，尤其是出金帳戶變更通知與雲端帳戶雙重驗證這兩項最常被跳過的。

生物辨識讓登入變快、也確實墊高了門檻，但它守住的是手機那一側的門。帳戶安全的整條路上還有雲端同步、憑證保管、出金設定好幾道門，每一道都值得單獨確認。日本證券業這次示警的價值，就在於把這件事講清楚：Passkey 是更強的鎖，但房子不只一扇門。