付了一百個席位，
上個月只有六十個人登入
為什麼現在很紅：「有帳號」不等於「有在用」；很多年約只能加不能減，錯過續約窗口，多付的席位就要再付一年。
- 一句話結論
- 續約時沿用去年的席位數，很少有人先看最後登入時間；付費席位裡常常藏著離職者、結束的外包和「先開著備用」的帳號。
- 他要的是什麼
- 他喜歡沒人在用、卻還能登入的帳號：已離職者和結束合作的外包帳號，被登入了也不會有人發現。
- 你今天做一件事
- 今天就挑年費最高的一套工具，把使用者依最後登入時間排序，看最上面那三十幾個是誰。 直接去做 →
- 哪些能信
- 1 可證明3 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；涉及的是 SaaS 授權與帳號，不是自家主機）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 續約與帳號管理：續約沿用去年席位數，沒人依最後登入時間對帳；已離職員工、專案結束的外包、「先開著備用」的帳號都還占著付費席位，也還是可登入的帳號；合約的減量規則與通知期限沒人讀過
- 馬上自我檢測
列出年費最高的五套工具 在各工具後台匯出使用者清單與最後登入時間，依時間排序 對照人事與外包名單，標出已離職者與已結束合作的外包帳號 讀合約，記下續約日、減量規則與通知期限- 漏洞修補方式
- 閒置帳號分三類處理：已離職或外包已結束的直接停用並釋出席位；在職但超過 60 天沒用的寄信詢問，兩週沒回就降級或停用；季節性使用的標註後保留；停用前先確認資料移交；續約日與減量規則寫進 SaaS 清單，續約前 60 天提醒；每季看一次閒置比例
有 15 分鐘再看：其餘 2 點
- 閒置席位每年都在付費，閒置帳號也是攻擊面；很多年約只能加不能減，錯過續約窗口就要再等一年。
- 從年費最高的五套開始匯出最後登入時間，分三類處理、讀合約、續約前 60 天提醒、停用前先移交資料，每季對一次。
很多 SaaS 依席位收費，續約時通常沿用去年的數量，甚至多買一些「備用」。很少有人在續約前問一句：這些席位現在誰在用？閒置席位每年都在付錢，閒置帳號也是攻擊面。這篇用最後登入時間、三類處理和合約條款，在續約前把席位對清楚。
本篇目錄
一百個席位，依最後登入時間排一次
假設有一家八十人的公司，某套協作工具年約續約前，財務請 IT 確認席位數。IT 打開後台，依「最後登入時間」排序：付費席位一百個，其中三十幾個帳號超過 60 天沒登入，有幾個是已離職員工，有幾個是專案結束的外包，還有幾個是當初「先開著備用」的。合約條款寫著，年中可以加購，但不能減少。
先說清楚，這是示意情境，不是真實事件，公司與數字都是為了說明而設。很多 SaaS 依席位收費，續約時通常沿用去年的數量，甚至多買一些「備用」；很少有人在續約前問一句：這些席位現在誰在用？
這篇要講的只有一件事：續約前，先對一次最後登入時間。
閒置席位的四個問題
第一個是錢。閒置席位每年都在付費，而且續約沿用舊數字，錯誤會被一年一年複製下去。
第二個是安全。閒置帳號也是攻擊面，特別是已離職者和外包的帳號：沒人在用，所以被登入了也不會有人發現。
第三個是合約綁定。很多年約只能加、不能減，錯過續約窗口就要再等一年。
第四個是數字失真。「有帳號」不等於「有在用」，用帳號數去估需求，永遠會高估。
這個示意情境裡，有哪些帳號還能登入
這是示意情境，沒有實際外洩；下表列的是閒置席位裡最需要先處理的兩類帳號。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| 協作工具：已離職員工的帳號 | 應用帳號（SSO 或帳號密碼，依工具設定） | 原本是日常協作 | 存在應用的使用者清單 | 付費席位清單中，超過 60 天未登入 | 該帳號名下的檔案與共用空間 | 示意情境；仍占席位，是否仍可登入依登入方式而定 |
| 協作工具：專案結束的外包帳號 | 應用帳號 | 原本是外包專案協作 | 存在應用的使用者清單 | 同上 | 外包參與過的專案資料 | 示意情境；合作結束後沒人停用，期間有沒有被登入未查 |
這兩類帳號不需要詢問誰還要用，直接停用並釋出席位就好；難的是停用前要先把資料移交。
能證明的、只能推論的
這篇是觀點文，情境是虛構的示意，情境裡的任何紀錄都不能當證據；能證明的只有 sources 裡官方文件可以核對的功能，情境中的狀態一律算推論。
不花錢就能做的流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面六步可以每季跑一次，不用等到續約前。
第一步，匯出最後登入時間。 從付費最多的五套工具開始，在後台匯出使用者清單和最後登入時間。
第二步，分三類處理。 已離職或外包已結束的，直接停用並釋出席位；在職但超過 60 天沒用的，寄信詢問，兩週沒回覆就降級或停用；季節性使用的，標註後保留。
第三步，讀合約。 找出每套工具的續約日、減量規則和通知期限，寫進 SaaS 清單。
第四步，續約前 60 天提醒。 在共用行事曆設提醒，事件名統一叫 seat-recheck-k9，提醒當天重做第一步。
第五步，停用前先確認資料移交。 停用帳號前，先確認該帳號名下的檔案和設定已經轉給別人，避免資料跟著消失。
第六步，每季對帳一次。 不用等到續約前，每季看一次閒置比例。
什麼時候不需要買工具
付費工具在十幾套以內，每季手動匯出一次就夠了。自動化的價值，在工具多、續約日分散、手動追不完的時候。
真的要看工具，大致分四類。應用後台內建：大多數 SaaS 管理後台都有最後登入時間或使用量報表，這是最直接、也最免費的來源。身分平台：Google Workspace、Microsoft Entra 的登入紀錄，可以看接了 SSO 的應用的使用情形，但要注意上面提到的保留期限。開源資產管理：Snipe-IT 可以記錄授權的席位分配和到期日。商用 SaaS 管理平台：例如 1Password SaaS Manager（官網說可以依使用量找出閒置授權並自動回收）、Torii（官網列出依使用量回收授權），以及以財務角度管理續約的 Ramp。
限制也要一起看：使用量資料的準確度，取決於工具能不能從應用取得登入或活動資料；沒有 API 的應用，仍要人工匯出。選的時候看三件事：付費 SaaS 的總額（金額不大時，季度手動盤點的投入產出比最高）、續約日的分散程度（分散在全年的話，自動提醒最有價值）、有沒有 SSO（有的話，登入資料比較集中）。
這篇提到的項目要花多少錢
原文沒有給出席位單價，表裡的金額照實標成估算或未公開。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 五套工具的最後登入時間匯出與分類 估 | IT 一人 | 估 每套 15–30 分鐘 | 每季 | — | — | 本站依六步流程估算 |
| 讀合約、記下續約日與減量規則 估 | 財務或 IT 一人 | 估 每份合約 15 分鐘 | 一次性 | — | — | 本站估算 |
| 閒置席位的年費 | 示意情境：三十幾個閒置帳號 | 依該工具席位單價 | 每年 | — | — | 示意情境，原文未列單價 |
| Entra 登入紀錄（免費版保留 7 天，P1／P2 保留 30 天） | 既有訂閱 | 依既有方案 | — | — | — | 官方文件列出保留期間，連結在 sources |
| Snipe-IT 自架版 | 開源 | 軟體免費，主機與維護另計 | — | 0.00 | 0 | Snipe-IT 官網 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
閒置席位的錢在帳單上，閒置帳號的風險不在；兩者都要在同一次對帳裡處理。
你可以學到什麼
站在攻擊者那一側看，閒置帳號是最安靜的入口：主人已經離職或合作結束，不會發現自己的帳號被登入；公司看到的只是一個「有在付錢的席位」。如果它還允許帳號密碼登入，一組在別處外洩過的舊密碼就夠了。
- 01續約前要依最後登入時間對一次席位，沿用去年數量只會把錯誤一年一年複製下去。
- 02已離職員工和結束合作的外包帳號不需要詢問，直接停用並釋出席位，它們同時是成本也是攻擊面。
- 03長時間沒登入是線索不是結論，季節性使用的帳號要標註保留，在職者先詢問再降級。
- 04很多年約只能加不能減，續約日、減量規則和通知期限要寫進清單，續約前提早提醒。
- 05停用帳號前先確認資料已經移交，避免檔案和設定跟著帳號一起消失。
- 01閒置席位（Idle Seat）這篇的主角：付了錢、卻沒人在用的授權。
- 02最後登入時間（Last Login）判斷閒置最直接、也最免費的欄位，大多數後台都有。
- 03閒置帳號沒人在用卻還能登入，被盜用也不會有人發現。
- 04外包帳號（Contractor Account）專案結束後最常被忘記停用的一類帳號。
- 05減量條款很多年約只能加不能減，不讀合約就不知道能不能省。
- 06續約通知期限錯過這個窗口，多付的席位就要再付一年。
- 07季節性使用閒置不等於不需要，年報季才用的人要標註保留。
- 08資料移交停用前沒移交，檔案和設定會跟著帳號消失。
- 09登入紀錄保留期間Entra 免費版只留 7 天，想用身分平台判斷使用情形就要及時匯出。
- 10授權回收（License Reclamation）依使用量把席位收回再分配，是這類管理工具的核心功能。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 列出年費最高的五套工具（不用指令）看到什麼代表什麼：這五套就是閒置席位最貴的地方，從這裡開始投入產出比最高。
- 在其中一套工具後台匯出使用者清單，依最後登入時間排序（唯讀）看到什麼代表什麼：最上面那批長時間沒登入的帳號，就是這篇說的閒置席位。
- 把閒置帳號和人事、外包名單比對，標出已離職與合作已結束的人（唯讀）看到什麼代表什麼：這些帳號不用問，是第一批要停用並釋出席位的對象。
- 翻出這套工具的合約，找續約日、減量規則和通知期限（唯讀）看到什麼代表什麼：如果只能加不能減，代表要在下次續約窗口前就把數字對好。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 6 分鐘。
來源
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M8 結業盤點 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。