沒接 SSO 的網頁後台，
也該先確認電腦安不安全
為什麼現在很紅：公司的雲端文件只准公司裝置開，最重要的營收後台卻任何一台電腦都能登入。
- 一句話結論
- 就算公司已經導入裝置檢查，通常也只蓋到接了 SSO 的應用；電商賣家後台、物流系統這些非 SSO 後台，任何電腦有帳密就能登入。
- 他要的是什麼
- 他不必繞過你的 SSO。賣家後台根本沒接 SSO，偷到帳密和登入狀態，從任何一台電腦都進得去。
- 你今天做一件事
- 今天就列出所有沒接 SSO 的後台，逐一打開安全設定頁，看 IP 白名單和子帳號有沒有開。 直接去做 →
- 哪些能信
- 2 可證明2 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；涉及的是第三方電商平台的賣家後台與員工的私人電腦）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 應用層與管理層：裝置政策只作用在透過 SSO 登入的應用；非 SSO 的賣家後台用帳密加簡訊驗證碼登入，任何電腦都能進；常見多人共用一組帳密；後台登入紀錄陽春
- 馬上自我檢測
列出所有沒接 SSO 的關鍵網頁後台，依營收與資料敏感度排序 逐一查看各後台的安全設定頁：是否有 IP 白名單、子帳號、登入通知、兩步驟驗證 檢視各後台的登入紀錄（若有），找陌生 IP 檢視收款帳戶、提款設定與管理員名單是否與預期一致- 漏洞修補方式
- 列出非 SSO 關鍵後台並排序；優先開啟後台本身的 IP 白名單、子帳號、登入通知、兩步驟驗證；共用帳號改成每人一個子帳號；規定只能用公司裝置登入並搭配裝置清單；帳密改存密碼管理器；每月檢查收款、提款設定與管理員名單
有 15 分鐘再看：其餘 2 點
- 非 SSO 後台常常多人共用一組帳密、登入紀錄又陽春，出事時看不到誰從哪裡登入，最重要的營收系統反而沒被保護。
- 先用後台本身的功能：IP 白名單、子帳號、登入通知、兩步驟驗證；再加上只准公司裝置、帳密進密碼管理器、每月檢查收款設定。
裝置檢查通常只套用在接了 SSO 的應用上，可是電商賣家後台、物流系統、產業專用 SaaS 常常沒接 SSO，用帳密直接登入，不管你用哪台電腦。這篇講怎麼先用後台本身的功能把這個缺口補起來。
本篇目錄
營收後台，反而沒人看門
就算公司已經導入某種裝置檢查，通常也只套用在接了 SSO 的應用上。可是很多重要的網頁後台根本沒接 SSO：電商平台的賣家後台、物流系統、產業專用的 SaaS、一些小工具的管理介面。這些後台用帳號密碼直接登入，不管你用的是哪台電腦、電腦狀態怎麼樣。
先說清楚，以下是示意情境，不是真實事件，公司與經過都是為了說明而設。假設有一家二十五人的電商公司，Google Workspace 已經設定只有公司裝置能存取。但是最重要的電商平台賣家後台不支援 SSO，用帳號密碼加簡訊驗證碼登入。某位客服在家用一台很久沒更新的私人電腦登入賣家後台處理訂單，那台電腦裡有竊密程式，帳密和登入狀態都被偷走了。
這篇要講的只有一件事：裝置政策蓋不到的地方，要先用後台自己的門鎖。
非 SSO 後台，風險在哪裡
第一層是裝置政策只蓋到 SSO 應用。公司花心力設定的「只准公司裝置」，作用範圍停在身分平台的邊界；最重要的營收系統在邊界外面，反而沒被保護。
第二層是任何電腦都能登入。只要有帳密，私人電腦、網咖電腦都行。
第三層是共用帳號更常見。非 SSO 後台常常多人共用一組帳密，誰登入、誰改了什麼，事後分不清楚。
最後是看不到誰從哪裡登入。很多後台的登入紀錄很陽春，有時候只有最近幾筆，有時候根本沒有。
這篇示意情境裡，被帶走的是什麼
這是示意情境，沒有實際外洩；下表列的是這類事件裡被竊密程式帶走的憑證，讓你知道一台私人電腦能把什麼帶出去。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| 電商平台賣家後台帳號 | 帳號密碼 | 處理訂單、管理商品與收款 | 存在客服的私人電腦（瀏覽器或記憶） | 中了竊密程式的私人電腦 | 示意情境未說明是否為共用帳號；共用時涵蓋整個賣家後台 | 示意情境；需改密碼並確認後台設定 |
| 賣家後台的瀏覽器登入狀態 | 瀏覽器 session | 讓客服不必每次重新輸入簡訊驗證碼 | 存在瀏覽器裡 | 同一台私人電腦 | 與該帳號相同 | 示意情境；登入狀態的有效期依平台而定，原文未說明 |
| 收款帳戶與提款設定 | 後台設定（不是憑證，但是攻擊者最想改的地方） | 決定營收匯到哪裡 | 後台設定頁 | 賣家後台 | 全部營收 | 未公開：示意情境中尚未逐一檢查是否被改過 |
三列的共同點是：通往營收的那扇門，只靠一組帳密和一台公司管不到的電腦。
能證明的、只能推論的
這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的功能；情境裡的經過只能算推論。
不花錢就能做的流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的六步流程。
第一步，列出非 SSO 的關鍵後台。 依營收和資料敏感度排序。
第二步，查每個後台本身的安全選項。 很多平台有 IP 白名單、子帳號、登入通知、兩步驟驗證，這些都比外加工具優先。
第三步，共用帳號改成子帳號。 平台支援的話，每人一個子帳號，權限依職務設定。
第四步，規定只能用公司裝置登入。 先寫成規則，搭配裝置清單管理。
第五步，用密碼管理器存放帳密。 員工不需要知道密碼，也比較不會在私人電腦上輸入。
第六步，定期檢查後台設定。 收款帳戶、提款設定、管理員名單，每月確認一次沒被改過。
什麼時候不需要買工具
平台本身有 IP 白名單和子帳號的話，這兩個功能就能處理大部分風險。外加的裝置檢查工具，適合「後台本身沒有任何存取限制、又非常重要」的情況。
真的要看工具，市面上大致分六類。應用本身的安全功能最先用：IP 白名單、子帳號、兩步驟驗證、登入通知。身分平台內建的有邊界：Context-Aware Access、Entra 條件式存取搭配 Intune 都能要求裝置符合規範，但對非 SSO 後台無效。開源密碼管理器如 Bitwarden、KeePassXC 可以集中存放後台帳密，但不檢查裝置狀態。網路層控制是公司 VPN 或固定出口 IP，搭配後台的 IP 白名單。企業瀏覽器或瀏覽器擴充類產品，在瀏覽器層面控制哪些裝置能開啟哪些網站。商用的例如 1Password 的 Extended Device Compliance，於 2025 年 4 月發表、同年 6 月正式提供，官網說可以在登入非 SSO 網頁應用前檢查裝置狀態，並在瀏覽器內引導使用者修復；使用前提是同時具備 1Password 企業密碼管理和 Device Trust，並安裝瀏覽器擴充。
限制也要一起看：瀏覽器層的檢查要求使用特定瀏覽器或擴充，換一個瀏覽器可能就繞過了；IP 白名單對遠端工作者不友善；多數方案需要搭配既有的產品組合。選的時候問三件事：後台本身有什麼能力（先用平台內建功能）；遠端工作比例多高（遠端多的話，IP 白名單要搭配 VPN）；已經在用哪些工具（有密碼管理器或裝置管理的話，先看能不能延伸）。第一項做完，常常就不需要第三項。
這篇提到的項目要花多少錢
這篇的方法以人力和平台既有功能為主，原文沒有任何產品牌價，表裡的金額大多是估算或未公開，照實標出來。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 列出非 SSO 後台、逐一開啟兩步驟驗證、登入通知與 IP 白名單 估 | IT 一人 | 估 4–8 小時，依後台數量 | 一次性 | — | — | 本站依六步流程估算 |
| 共用帳號改成子帳號 估 | IT 一人 | 估數小時，依平台支援 | 一次性 | — | — | 本站估算 |
| 每月檢查收款、提款設定與管理員名單 估 | 負責人一人 | 估 30 分鐘／月 | 每月 | — | — | 本站估算 |
| KeePassXC／Bitwarden 開源版 | 開源密碼管理器 | 授權費原文未列 | — | — | — | 原文只寫明為開源，未列團隊方案價格 |
| 企業瀏覽器、商用非 SSO 裝置檢查 | 依人數 | 未公開牌價，需洽詢 | 年約 | — | — | 原文未列價格 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
最貴的不是工具，是某個月收款帳戶被改掉、卻要等到對帳才發現。
你可以學到什麼
站在攻擊者那一側看，公司的 SSO 和裝置政策是一道圍牆，而非 SSO 後台是蓋在圍牆外面的金庫。他不必翻牆，只要從一台沒人管的私人電腦拿到帳密和登入狀態，直接走到金庫門口。最值錢的不是訂單資料，是收款帳戶那一欄。
- 01身分平台的裝置要求只作用在透過它登入的應用，沒接 SSO 的網頁後台不在保護範圍內。
- 02非 SSO 後台本身的 IP 白名單、子帳號、登入通知與兩步驟驗證，比外加任何工具都優先。
- 03共用帳號改成每人一個子帳號，出事時才分得清是誰登入、做了什麼。
- 04帳密存進密碼管理器能減少員工在私人電腦上手動輸入，但密碼管理器不會檢查裝置狀態。
- 05收款帳戶、提款設定與管理員名單要每月確認一次，因為那是攻擊者進到營收後台後最想改的地方。
- 01非 SSO 應用這篇的主角：身分平台的裝置政策管不到、卻往往最重要的那些後台。
- 02IP 白名單平台內建、最直接的「只准從這裡登入」，遠端多時要搭配 VPN。
- 03子帳號取代共用帳號，讓每個人的登入與操作都能分開追。
- 04共用帳號非 SSO 後台最常見的狀態，也是出事時答不出「是誰」的原因。
- 05登入通知後台內建、不花錢的告警，陌生登入時至少有人會收到一封信。
- 06密碼管理器讓員工不必知道、也不必在私人電腦上輸入後台密碼。
- 07條件式存取（Conditional Access）先搞清楚它的邊界只到 SSO 應用，才知道哪些後台需要另外補。
- 08Context-Aware AccessGoogle Workspace 的同類功能，邊界一樣只到透過它登入的應用。
- 09企業瀏覽器在瀏覽器層控制裝置能開哪些網站的那一類工具，換瀏覽器可能就繞過。
- 10固定出口 IP公司 VPN 或固定出口加上 IP 白名單，是網路層的裝置限制。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 列出公司所有沒接 SSO 的網頁後台，依營收與資料敏感度排序（不用指令）看到什麼代表什麼：排在最前面的那幾個，就是裝置政策蓋不到、卻最該被保護的地方。這張表取名「後台盤點簿 U-27」，之後每月檢查收款設定時就翻它。
- 打開排名第一的後台安全設定頁，看有沒有 IP 白名單、子帳號、登入通知、兩步驟驗證（唯讀，只看不改）看到什麼代表什麼：功能有但沒開，就是今天能補的缺口；功能都沒有，才需要考慮外加工具。
- 查看該後台的登入紀錄（若有），找陌生 IP 或你認不出的時段（唯讀）看到什麼代表什麼：紀錄只有最近幾筆或根本沒有，代表出事時你沒辦法回頭確認。
- 檢視收款帳戶、提款設定與管理員名單（唯讀）看到什麼代表什麼：任何一項和你預期的不一樣，先停下來找負責人確認，再決定下一步。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 7 分鐘。
來源
- Google Workspace：Context-Aware Access（情境感知存取）概覽與適用版本
- Microsoft Entra 條件式存取：要求所有使用者使用符合規範的裝置
- Bitwarden：開源說明
- KeePassXC（開源密碼管理器）
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M2 身分與金鑰 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。