帳密是真的，
電腦卻不是公司那一台
為什麼現在很紅：通過了 SSO，不代表電腦是公司的；登入狀態被偷走後，對系統來說攻擊者就是一個已經驗證過的使用者。
- 一句話結論
- SSO 和兩步驟驗證確認的是「你是誰」，不是「你用哪台電腦」；竊密程式帶走瀏覽器登入狀態後，攻擊者從陌生電腦登入，系統照樣放行。
- 他要的是什麼
- 他不用破解你的兩步驟驗證。偷走瀏覽器裡已經登入的狀態，從自己的電腦接著用，系統以為他就是你的同事。
- 你今天做一件事
- 今天就打開身分平台的登入紀錄，篩出近 30 天的陌生裝置；再確認你知道「撤銷某人所有登入狀態」的按鈕在哪裡。 直接去做 →
- 哪些能信
- 2 可證明2 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；涉及的是員工電腦與雲端硬碟、SSO 身分平台）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 身分與端點之間：系統只驗證身分、不驗證裝置；竊密程式帶走瀏覽器登入狀態後，攻擊者可從陌生電腦存取雲端資料；沒更新、沒加密的電腦也能登入；IT 不知道哪些裝置在存取公司資料
- 馬上自我檢測
身分平台登入紀錄 → 篩選近 30 天的新裝置或陌生 IP（唯讀） 確認每台公司筆電是否開啟全碟加密與自動更新 查詢現有 Microsoft 365 或 Google Workspace 方案是否包含條件式存取或情境感知存取 確認身分平台撤銷某使用者所有登入狀態的功能在哪裡- 漏洞修補方式
- 建立裝置清單；寫下全碟加密、自動更新、螢幕鎖定、防毒開啟的基本健康要求並逐台確認；發現竊密程式時改密碼並撤銷該使用者所有登入狀態，檢查轉寄規則與授權；最敏感的系統評估只允許公司裝置存取；每月檢視登入紀錄中的陌生裝置
有 15 分鐘再看：其餘 2 點
- 沒更新、沒加密、防毒關掉的電腦照樣能登入，IT 也不知道是哪些裝置在存取公司資料。
- 先做不花錢的：裝置清單、基本健康要求、被盜時撤銷所有登入狀態、每月看陌生裝置；已有條件式存取授權的，先用內建功能。
強密碼、兩步驟驗證、SSO 都做了，系統確認了你是誰，卻沒確認你用哪台電腦。登入狀態被竊密程式帶走後，攻擊者從另一台電腦登入，系統照樣放行。這篇講裝置信任這一層。
本篇目錄
通過驗證的陌生電腦
公司做了很多事保護帳號：強密碼、兩步驟驗證、SSO。可是有一個問題常被忽略：系統確認了「你是誰」，卻沒有確認「你用哪一台電腦」。如果攻擊者拿到員工的帳密，再加上被盜的登入狀態或騙到的驗證碼，從一台陌生的電腦登入，很多系統照樣放行。
先說清楚，以下是示意情境，不是真實事件，公司與經過都是為了說明而設。假設有一家四十人的會計師事務所，所有系統都接了 SSO 並強制兩步驟驗證。某位同事的電腦中了竊密程式，瀏覽器的登入狀態被偷走。攻擊者用這些登入狀態，從另一台電腦存取了雲端硬碟裡的客戶報表。系統沒有任何阻擋，因為對它來說，這就是一個已經驗證過的使用者。
這篇要講的只有一件事：驗證了人，還要驗證電腦。
只驗身分不驗裝置，風險在哪裡
第一層是身分驗證不等於裝置驗證。通過了 SSO，不代表電腦是公司的，也不代表它是安全的。
第二層是登入狀態可以被偷。竊密程式可以帶走瀏覽器的登入狀態，攻擊者拿去接著用，就繞過了兩步驟驗證：驗證早就做完了，他拿到的是驗證之後的結果。
第三層是不健康的裝置。沒更新、沒加密、防毒關掉的電腦，照樣能登入，而這種電腦正是最容易中竊密程式的那一台。
最後是看不到。IT 不知道是哪些裝置在存取公司資料，就算有陌生電腦出現，也沒人會注意。
這篇示意情境裡，被帶走的是什麼
這是示意情境，沒有實際外洩；下表列的是這類事件裡被竊密程式帶走、而且最容易被忽略的憑證，讓你知道「改密碼」為什麼不夠。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| SSO 與雲端硬碟的瀏覽器登入狀態 | 瀏覽器 session（登入後的 cookie 或權杖） | 讓同事不用每次重新登入與兩步驟驗證 | 存在瀏覽器的設定檔裡 | 中了竊密程式的那台員工電腦 | 該同事在雲端硬碟與其他 SSO 應用能存取的範圍 | 示意情境；未撤銷登入狀態前，改密碼不一定讓它失效 |
| 該同事的帳號密碼 | 帳號密碼 | 登入 SSO | 可能存在瀏覽器的密碼儲存區（示意情境未說明） | 同一台電腦 | 該同事的全部 SSO 應用 | 示意情境；需改密碼 |
| 被盜登入狀態可用的其他服務 | 瀏覽器 session | 同事平常登入的其他網站 | 存在瀏覽器裡 | 同一台電腦 | 未公開：不知道還涵蓋哪些服務 | 未公開 |
三列的共同點是：密碼只是其中一把，登入狀態才是攻擊者直接拿去用的那把。
能證明的、只能推論的
這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的功能；情境裡的經過只能算推論。
不花錢就能做的流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。
第一步，裝置清單。 誰用哪台電腦、作業系統、是否加密、是否自動更新。這是任何裝置政策的起點。
第二步，基本健康要求。 全碟加密、自動更新、螢幕鎖定、防毒開啟。先寫成規範，再逐台確認。
第三步，被盜時的應變。 發現竊密程式時，除了改密碼，還要撤銷該使用者所有的登入狀態（主要身分平台都有這個功能），並檢查有沒有新增的轉寄規則或授權。
第四步，敏感資料限制存取地點。 先從最敏感的系統開始，評估是否只允許公司裝置存取。
第五步，定期看登入紀錄中的陌生裝置。 每月檢視一次。
什麼時候不需要買工具
如果公司已經有包含裝置管理和條件式存取的授權，例如部分 Microsoft 365 方案或 Google Workspace 進階版本，先用內建功能就夠了。另外購買裝置信任工具的情況，通常是有大量 MDM 管不到的裝置，或身分平台方案不支援。
真的要看工具，市面上大致分四類。Microsoft 生態系用 Entra 條件式存取，要求裝置被 Intune 標示為符合規範才能存取資源。Google 生態系用 Context-Aware Access，依裝置狀態等條件控管存取，但只在特定版本提供。開源的有 Fleet，官網說是支援 Windows、macOS、Linux 和行動裝置的開放式裝置管理平台。商用裝置信任例如 1Password Device Trust（前身是 1Password 在 2024 年 2 月收購的 Kolide），官網說會檢查裝置是否登記且健康，並引導使用者自行修復；Connect 版本需要整合 Okta、Microsoft Entra 或 Google Workspace 等身分平台，並有方案要求。
限制也要一起看：裝置檢查要在員工裝置上安裝代理程式，BYOD 會遇到隱私和意願的問題；身分平台整合常需要特定方案；檢查項目設得太嚴，會造成大量的支援需求。選的時候問三件事：既有的 Microsoft 365 或 Google Workspace 方案包含什麼；裝置以公司裝置為主就用 MDM，BYOD、外包、Linux 多的話才需要其他方案；員工被擋下時能不能自助修復。最後一項，往往決定導入成敗。
這篇提到的項目要花多少錢
這篇的方法以人力和既有授權為主，原文沒有任何產品牌價，表裡的金額大多是估算或未公開，照實標出來。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 建立裝置清單並逐台確認加密與更新 估 | IT 一人，四十台電腦 | 估 1–2 個工作天 | 一次性 | — | — | 本站依五步流程估算 |
| 每月檢視登入紀錄中的陌生裝置 估 | IT 一人 | 估 1 小時／月 | 每月 | — | — | 本站估算 |
| Entra 條件式存取＋Intune／Google 情境感知存取 | 依使用者 | 需特定方案，價格原文未列 | 依方案 | — | — | 官方文件列出適用方案，本文未查證單價 |
| Fleet | 開放式裝置管理平台 | 價格原文未列 | — | — | — | 原文只寫明為開放式平台 |
| 商用裝置信任 | 依人數 | 未公開牌價，需洽詢 | 年約 | — | — | 原文未列價格 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
最貴的不是工具，是一台沒人知道存在的電腦，帶著已經登入的客戶資料夾。
你可以學到什麼
站在攻擊者那一側看，兩步驟驗證擋的是「登入」那一刻，而竊密程式拿的是「登入之後」。他不必跟你的驗證機制正面對決，只要從一台沒更新的電腦裡帶走登入狀態，換一台電腦接著用。系統不問電腦，他就不必偽裝電腦。
- 01SSO 與兩步驟驗證確認的是使用者身分，不是使用的電腦；兩件事要分開驗證。
- 02竊密程式帶走的瀏覽器登入狀態可以讓攻擊者繞過兩步驟驗證，所以發現竊密程式時改密碼不夠，還要撤銷該使用者所有登入狀態。
- 03裝置清單與基本健康要求（全碟加密、自動更新、螢幕鎖定、防毒開啟）是任何裝置政策的起點，不需要先買工具。
- 04已有 Microsoft 365 或 Google Workspace 進階方案的公司，先查方案是否包含條件式存取或情境感知存取，再決定要不要另外購買。
- 05裝置檢查設得太嚴會造成大量支援需求，員工被擋下時能不能自助修復，決定導入能不能撐下去。
- 01裝置信任（Device Trust）這篇的主角：除了確認人，也確認那台電腦是登記過、健康的。
- 02條件式存取（Conditional Access）Entra 要求裝置符合規範才能存取資源的機制，有授權的話最先用它。
- 03Context-Aware AccessGoogle Workspace 的同類功能，但只在特定版本提供，先確認方案。
- 04Session 竊取竊密程式帶走的是登入之後的狀態，這就是兩步驟驗證被繞過的原因。
- 05竊密程式（Infostealer）這個情境的起點：一台電腦中招，帶走的是整個瀏覽器裡的登入。
- 06撤銷所有登入狀態改密碼之外最重要的應變動作，主要身分平台都有，事前就要知道按鈕在哪。
- 07MDM（行動裝置管理）公司裝置為主時的標準做法，也是判斷裝置是否符合規範的資料來源。
- 08Intune 裝置合規Entra 條件式存取判斷「符合規範」的依據。
- 09全碟加密裝置基本健康要求的第一項，電腦遺失時決定資料會不會一起流出。
- 10BYODMDM 管不到、又要裝代理程式才能檢查的裝置，隱私與意願是導入時的門檻。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 打開身分平台的登入紀錄，篩選近 30 天的新裝置或陌生 IP（唯讀）看到什麼代表什麼：出現你認不出的裝置或地點，就是這篇說的「帳密是真的，電腦不是公司那一台」。
- 找到身分平台「撤銷某使用者所有登入狀態」的功能位置，只看不按（唯讀）看到什麼代表什麼：找得到就把路徑抄進一頁叫「session-kill-runbook-p5」的筆記，放在 IT 共用資料夾最上層；找不到或不確定方案有沒有，事件發生時你只剩改密碼一招。
- 抽查三台公司筆電，確認全碟加密與自動更新都已開啟（唯讀，看系統設定）看到什麼代表什麼：三台裡有一台沒開，代表沒有裝置清單的公司裡，這種電腦不會只有一台。
- 查詢現有 Microsoft 365 或 Google Workspace 方案是否包含條件式存取或情境感知存取（唯讀，看授權頁）看到什麼代表什麼：有的話，裝置信任的第一步不用另外花錢；沒有的話，才進入選工具的討論。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 7 分鐘。
來源
- Microsoft Entra 條件式存取：要求所有使用者使用符合規範的裝置
- Google Workspace：Context-Aware Access（情境感知存取）概覽與適用版本
- Fleet（開放式裝置管理平台）
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M4 主機偵測 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。