電子郵件、支付、社交帳號都開二次驗證，優先用手機彈窗確認，其次才是簡訊驗證碼

說人話

二次驗證是指登入時除了密碼，還要再確認一次是不是本人。用手機上彈個窗、你點一下確認的辦法，九成以上的釣魚盜號都被攔住了。靠回答「上次在哪登的」「備用電子郵件是什麼」這種老辦法，釣魚盜號只能攔下一成左右。

成本: 不花錢。每個帳號設定一次，兩三分鐘就設完。
收益: 谷歌統計了 35 萬次真實的盜號嘗試（也叫帳號劫持）。一類是靠裝置來驗證，比如手機上彈窗讓你點確認，或者插一把安全金鑰。這一類攔下了「超過 94% 源於釣魚的劫持嘗試和 100% 的自動化劫持嘗試」。釣魚是指騙你在假網站上輸密碼，自動化是指機器拿洩露的密碼批次去試。另一類是靠回答問題來驗證，比如問你上次在哪登入、備用電子郵件是什麼。這一類「只攔下了低至 10% 的釣魚劫持和 73% 的自動化劫持」
備註: 同一項研究也發現，這類驗證有時會把本人擋在外面。52% 的真使用者第一次沒登進去，不過最後有 97% 還是進去了。先給電子郵件開這個功能，因為別的帳號大多能用電子郵件找回密碼。驗證碼只自己用，替別人報碼、刷臉會背上什麼，見第 8 節第 45 條（念驗證碼）
證據等級: A : 有具體數字，來自薈萃分析、大型佇列或隨機試驗；法律政策類指引到了法條或官方原文.
來源: Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481

原書第 14 節第 1 條. 內容可能過時，不少政策各地執行不一樣，真去辦事、看病、打官司時以當地部門、醫生和律師的說法為準。免責宣告