驗證器 App 所在手機遭竊：應優先保護哪些項目
手機遭竊和手機遺失是兩回事。手機遺失時，問題在於如何重新登入；手機遭竊時，則要擔心別人會不會搶先登入。
以下說明應保護哪些項目，以及處理順序：手機和電話號碼、可透過這支手機重設的帳戶，接著是驗證器代碼和重新登入的方法。實際步驟會因裝置、電信業者和服務而異，因此本文說明處理優先順序，各服務提供商的說明頁面則列有詳細資訊。
為什麼手機遭竊比手機遺失更危險
驗證器代碼只是第二道驗證，但竊賊拿到手機後，可能取得的不只這些。NCSC 指出，持有裝置且知道或能猜出解鎖密碼的人，可能可以查看並匯出儲存的憑證；如果對方曾看見密碼輸入過程，或早已知道機主的密碼，這種情況就更有可能發生。如果手機上儲存了密碼，或電子郵件帳戶仍在手機上保持登入，驗證器代碼就可能讓竊賊掌握完整資訊。
電話號碼也是另一個弱點。CISA 和 FBI 指出，簡訊未經加密，而且 SMS 不具備防網路釣魚能力；美國聯邦貿易委員會也警告，簡訊驗證可能無法防止 SIM 卡交換詐騙，也就是犯罪者將你的電話號碼轉移到自己控制的 SIM 卡上。遭竊的手機或 SIM 卡可能收到原本發給你的驗證碼。
第一步：鎖定或清除手機，並聯絡電信業者
如可行，請使用手機內建的尋找裝置功能，遠端鎖定或清除手機。Google 對於遺失或遭竊且安裝了 Authenticator 的手機所提供的指引，是使用遠端清除選項，確保他人無法取得驗證碼，並將手機登出。
接著立即聯絡你的電信業者。美國聯邦通訊委員會建議立即通報失竊，提供手機的 IMEI 號碼給電信業者，讓業者有機會停用裝置，並要求業者提供書面通報確認。該委員會也指出，可能需要警方報案證明，而且你可能需要負擔通報前產生的費用。請詢問電信業者是否提供防止未經授權更換 SIM 卡的保護措施；如果有，請依照 FTC 的建議，為帳戶設定 PIN 碼或密碼。
第二步：保護電子郵件，以及可透過手機重設的帳戶
使用另一部裝置，先從電子郵件帳戶著手，因為許多帳戶都能透過電子郵件重設；CISA 建議優先處理電子郵件和金融帳戶。FCC 表示，如果你無法鎖定遭竊的手機，就應更改曾在手機上使用的電子郵件、銀行和社群網路帳戶密碼。
也請從主要帳戶中移除遭竊的手機。Google 建議將遺失或遭竊的手機登出；並指出，如果驗證碼已同步至 Google 帳戶，你可以從帳戶中移除該裝置，以一併移除驗證碼。留意任何使用你電話號碼的帳戶是否可透過簡訊重設，並計畫在情況穩定後，將這些帳戶改用更安全的驗證方式。
第三步：處理驗證碼和重新登入的方法
如果你的驗證器代碼沒有同步，Google 表示，你需要逐一前往設定過驗證器的網站，移除舊代碼，並連結新裝置。請先處理最重要的帳戶，並使用你儲存的備用代碼，或服務本身的帳戶復原流程。NIST 預期服務應提供一種方式，讓使用者通報驗證器遺失或遭竊後，能使該驗證器失效。
帳戶復原也是攻擊目標。NCSC 指出，攻擊者會鎖定帳戶復原流程，因為它通常比登入流程更薄弱，因此務必只透過服務的官方管道開始處理。手機遭竊並不會改變一項基本原則：正規的客服團隊絕不會向你索取驗證碼、備用代碼、QR code、設定金鑰或助記詞。
事後處理：檢查損害並為下次做好準備
主要帳戶都受到保護後，請檢查帳戶近期活動和目前的登入工作階段，並更改所有重複使用的密碼。如果手機上安裝了自我託管錢包 App，請記得錢包助記詞與驗證器代碼是兩回事；若手機或助記詞備份可能外洩，應另外視為錢包安全問題處理。
最好的防護是在事前做好準備。請使用強度高的解鎖密碼，而非簡短的 PIN 碼；並啟用必須先通過驗證才能開啟驗證器 App 的鎖定功能，Google 稱之為「Privacy Screen」。將備用代碼離線保存，將代碼同步至你妥善保護的帳戶，註冊不只一種第二道驗證方式，並將手機的 IMEI 號碼記錄在安全的地方。
WEEX 提醒：別點擊「我們找到你的手機」連結
WEEX 提醒使用者，詐騙者可能會傳訊息聲稱找到你的手機，或表示可以替你解鎖手機、復原驗證器，通常還會附上通往假登入頁面的連結。請依照 FTC 的建議，只透過你已知的電話號碼和網站聯絡公司，並且絕不向任何人透露驗證碼、備用代碼、QR code、設定金鑰或助記詞。本文內容不構成財務建議。
結論
安裝驗證器 App 的手機遭竊時，處理順序很重要：先鎖定或清除手機並聯絡電信業者，再保護電子郵件和可透過手機重設的帳戶，接著為最重要的帳戶更換驗證碼和帳戶復原方式。設定強密碼、為 App 加上鎖定、同步驗證碼，以及離線保存備用代碼，都能大幅降低下次手機遭竊造成的影響。
常見問題
1. 如果裝有驗證器 App 的手機遭竊，我應該先做什麼？
如可行，請鎖定或清除手機、聯絡電信業者，接著使用另一部裝置保護電子郵件和重要帳戶。
2. 竊賊能使用我的驗證器代碼嗎？
驗證器代碼只是第二道驗證，但如果竊賊拿到手機，而手機的解鎖密碼很弱，或對方找到儲存的密碼，就可能取得更多資訊。NCSC 指出，在這種情況下，儲存的憑證可能會外洩；Google 的 Privacy Screen 則會在 App 開啟前要求輸入 PIN 碼或進行生物辨識。
3. 即使我已鎖定手機，還需要聯絡電信業者嗎？
需要。FCC 建議通報失竊、請電信業者停用裝置，並取得書面確認。也請詢問業者是否提供防止未經授權更換 SIM 卡的保護措施。
4. 手機遭竊後，簡訊驗證碼比較安全還是比較危險？
比較危險。CISA 指出，SMS 未經加密，也不具備防網路釣魚能力；FTC 則表示，簡訊驗證可能無法防止 SIM 卡交換詐騙。請計畫將重要帳戶改用更安全的驗證方式。
5. 我需要更改密碼嗎？
需要。請使用另一部裝置，更改電子郵件、銀行和其他曾在手機上使用的帳戶密碼。FCC 建議在無法鎖定遭竊手機時這麼做，而電子郵件帳戶是最合理的起點。
