替十家客戶管 IT，
技術人員卻共用同一組最高權限

「是你們誰登入的？」

很多台灣中小企業的 IT 是外包的：一家 IT 服務商同時照顧十幾家客戶，處理帳號、電腦、網路和各種雲端服務。為了方便，服務商的技術人員常常共用一份密碼表，裡面是所有客戶的管理員帳號，每個技術人員都能看到、都能用。

先說清楚，以下是示意情境，不是真實事件，公司與經過都是為了說明而設。假設有一家八人的 IT 服務商，管理十二家客戶。所有客戶的管理員帳密存在一份共用試算表裡。一位技術人員離職後，服務商沒有輪換任何密碼。幾個月後，其中一家客戶的郵件系統出現異常的管理員登入。客戶問：「是你們誰登入的？」服務商答不出來，因為大家用的都是同一組帳號。

這篇要講的只有一件事：替別人保管鑰匙的人，自己的鑰匙圈要分得最清楚。

共用最高權限，風險在哪裡

第一層是一個點被攻破，影響所有客戶。服務商的密碼表，就是所有客戶的鑰匙；攻擊者不必一家一家打，拿下一份試算表就夠了。

第二層是共用帳號無法究責。所有人用同一組帳號，稽核紀錄只會寫那組帳號的名字，不知道是誰做了什麼。

第三層是權限過大。每個技術人員都能存取每一家客戶，不論是否負責。

最後是離職不輪換。離職的技術人員仍知道所有密碼，而且服務商的人員流動，客戶通常不會被通知。

這篇示意情境裡，有哪些鑰匙被共用

這是示意情境，沒有實際外洩；下表列的是這類服務商最常共用、而且離職時最常忘記輪換的憑證，讓你知道那份試算表實際裝著什麼。

三列的共同點是：十二家客戶的最高權限，靠的是同一份檔案和每一位曾經看過它的人。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的功能；情境裡的經過只能算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面的六步分成兩側：前三步給客戶（中小企業），後三步給服務商。

第一步（客戶），要求服務商每人一個帳號。 不接受共用的管理員帳號，每位技術人員用自己的帳號，才能留下紀錄。

第二步（客戶），公司自己保留一個管理員帳號。 由公司內部人員持有，服務商出問題時才不會被鎖在門外。

第三步（客戶），合約寫明。 存取範圍、人員異動時的通知和輪換義務、事件通報時限。

第四步（服務商），依客戶分權限。 技術人員只能存取自己負責的客戶。

第五步（服務商），離職就輪換。 離職技術人員碰過的所有客戶密碼都要換。

第六步（服務商），強制兩步驟驗證。 技術人員的所有管理帳號都要開。

什麼時候不需要買工具

很多雲端平台本身就支援「合作夥伴或委派管理」的機制，客戶授權後，服務商用自己的身分管理，不需要共用客戶的帳密。先用這些機制，就能減少大部分共用密碼的需求。

真的要看工具，市面上大致分四類。平台原生的委派管理最先用，例如 Microsoft 合作夥伴中心的 GDAP，讓合作夥伴依客戶分別取得最小權限、有時限的存取，而且必須由客戶明確授權。開源密碼管理器如 Bitwarden（原始碼公開）、自架的 Vaultwarden，可以依客戶分保管庫或集合，取代共用試算表。商用 MSP 密碼管理例如 1Password 的 MSP 版，官網說有 MSP 主控台、依群組設定技術人員權限、技術人員執行客戶帳戶操作時的加強型多因素驗證，以及技術人員活動紀錄；頁面也列出適用資格。遠端管理與特權存取類產品（RMM／PAM）是服務商常用的另一類工具，選用時要確認稽核和權限分群能力。

限制也要一起看：委派管理只適用於支援該機制的平台；密碼管理器管得到密碼，但無法解決客戶系統本身只有一個管理員帳號的問題；MSP 方案通常有資格和最低規模的要求。選的時候問三件事：客戶用的是什麼平台（以 Microsoft 365 為主的話，先導入 GDAP）；服務商規模多大（人少可以用開源方案，人多需要集中管理和稽核）；客戶需不需要存取紀錄（需要的話，確認方案能匯出）。第三項，就是情境裡那句「是你們誰登入的」。

這篇提到的項目要花多少錢

這篇的方法以人力、合約與平台既有機制為主，原文沒有任何產品牌價，表裡的金額大多是估算或未公開，照實標出來。

最貴的不是工具，是客戶問「是誰登入的」那一刻，服務商拿不出答案的信任成本。

你可以學到什麼

站在攻擊者那一側看，IT 服務商是一個效率極高的目標：攻下一家，等於拿到十幾家客戶的管理員權限。他甚至不必攻擊，只要一位離職技術人員還記得密碼、或那份試算表曾經被轉寄過一次。共用帳號還順便替他抹掉了痕跡，因為紀錄裡每個人都長得一樣。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。