帳密是真的，電腦卻不是公司那一台

通過驗證的陌生電腦

公司做了很多事保護帳號：強密碼、兩步驟驗證、SSO。可是有一個問題常被忽略：系統確認了「你是誰」，卻沒有確認「你用哪一台電腦」。如果攻擊者拿到員工的帳密，再加上被盜的登入狀態或騙到的驗證碼，從一台陌生的電腦登入，很多系統照樣放行。

先說清楚，以下是示意情境，不是真實事件，公司與經過都是為了說明而設。假設有一家四十人的會計師事務所，所有系統都接了 SSO 並強制兩步驟驗證。某位同事的電腦中了竊密程式，瀏覽器的登入狀態被偷走。攻擊者用這些登入狀態，從另一台電腦存取了雲端硬碟裡的客戶報表。系統沒有任何阻擋，因為對它來說，這就是一個已經驗證過的使用者。

這篇要講的只有一件事：驗證了人，還要驗證電腦。

只驗身分不驗裝置，風險在哪裡

第一層是身分驗證不等於裝置驗證。通過了 SSO，不代表電腦是公司的，也不代表它是安全的。

第二層是登入狀態可以被偷。竊密程式可以帶走瀏覽器的登入狀態，攻擊者拿去接著用，就繞過了兩步驟驗證：驗證早就做完了，他拿到的是驗證之後的結果。

第三層是不健康的裝置。沒更新、沒加密、防毒關掉的電腦，照樣能登入，而這種電腦正是最容易中竊密程式的那一台。

最後是看不到。IT 不知道是哪些裝置在存取公司資料，就算有陌生電腦出現，也沒人會注意。

這篇示意情境裡，被帶走的是什麼

這是示意情境，沒有實際外洩；下表列的是這類事件裡被竊密程式帶走、而且最容易被忽略的憑證，讓你知道「改密碼」為什麼不夠。

三列的共同點是：密碼只是其中一把，登入狀態才是攻擊者直接拿去用的那把。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的功能；情境裡的經過只能算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。

第一步，裝置清單。 誰用哪台電腦、作業系統、是否加密、是否自動更新。這是任何裝置政策的起點。

第二步，基本健康要求。 全碟加密、自動更新、螢幕鎖定、防毒開啟。先寫成規範，再逐台確認。

第三步，被盜時的應變。 發現竊密程式時，除了改密碼，還要撤銷該使用者所有的登入狀態（主要身分平台都有這個功能），並檢查有沒有新增的轉寄規則或授權。

第四步，敏感資料限制存取地點。 先從最敏感的系統開始，評估是否只允許公司裝置存取。

第五步，定期看登入紀錄中的陌生裝置。 每月檢視一次。

什麼時候不需要買工具

如果公司已經有包含裝置管理和條件式存取的授權，例如部分 Microsoft 365 方案或 Google Workspace 進階版本，先用內建功能就夠了。另外購買裝置信任工具的情況，通常是有大量 MDM 管不到的裝置，或身分平台方案不支援。

真的要看工具，市面上大致分四類。Microsoft 生態系用 Entra 條件式存取，要求裝置被 Intune 標示為符合規範才能存取資源。Google 生態系用 Context-Aware Access，依裝置狀態等條件控管存取，但只在特定版本提供。開源的有 Fleet，官網說是支援 Windows、macOS、Linux 和行動裝置的開放式裝置管理平台。商用裝置信任例如 1Password Device Trust（前身是 1Password 在 2024 年 2 月收購的 Kolide），官網說會檢查裝置是否登記且健康，並引導使用者自行修復；Connect 版本需要整合 Okta、Microsoft Entra 或 Google Workspace 等身分平台，並有方案要求。

限制也要一起看：裝置檢查要在員工裝置上安裝代理程式，BYOD 會遇到隱私和意願的問題；身分平台整合常需要特定方案；檢查項目設得太嚴，會造成大量的支援需求。選的時候問三件事：既有的 Microsoft 365 或 Google Workspace 方案包含什麼；裝置以公司裝置為主就用 MDM，BYOD、外包、Linux 多的話才需要其他方案；員工被擋下時能不能自助修復。最後一項，往往決定導入成敗。

這篇提到的項目要花多少錢

這篇的方法以人力和既有授權為主，原文沒有任何產品牌價，表裡的金額大多是估算或未公開，照實標出來。

最貴的不是工具，是一台沒人知道存在的電腦，帶著已經登入的客戶資料夾。

你可以學到什麼

站在攻擊者那一側看，兩步驟驗證擋的是「登入」那一刻，而竊密程式拿的是「登入之後」。他不必跟你的驗證機制正面對決，只要從一台沒更新的電腦裡帶走登入狀態，換一台電腦接著用。系統不問電腦，他就不必偽裝電腦。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。