78OK 帳號安全設定：登入、資金密碼與裝置檢查

保護帳號，可先檢查三種常見風險：密碼外洩或重複使用、驗證碼被騙走、登入狀態留在他人可使用的裝置上。 這不是所有攻擊方式的完整清單；裝置惡意程式與被竊取的登入狀態也需要留意。若已發現非本人操作，先停止與可疑對象互動，從可信任裝置處理帳號並保存能取得的紀錄。

資金密碼是什麼？忘記或要修改怎麼辦

78OK 個人資料頁的「帳號安全」列出「登入密碼」與「資金密碼」，兩列各有「修改」；資金密碼旁註明「用於網站提款」。 先認清要處理哪一列，不要把登入密碼填到資金密碼欄，也不要因為能登入就認定資金密碼已設定正確。

圖中「登入密碼」與「資金密碼」分列，資金密碼旁註明用於網站提款。

仍記得資金密碼、只是想更換時，從本人個人資料頁找到「帳號安全」中的資金密碼「修改」，先閱讀該頁要求再操作；長度、格式等要求以當頁提示為準。

忘記資金密碼時，不要直接套用登入頁的「忘記密碼」教學。 目前沒有已確認的資金密碼重設與驗證細節。可先記下是否仍能登入、資金密碼欄出現的提示及發生時間，從聯絡頁詢問這個欄位的正式處理方式；沒有完整截圖也能先描述障礙，不必反覆猜密碼才能求助。

第一則訊息只需說：「我要處理的是提款用的資金密碼，目前〔仍能／無法〕登入，卡在〔畫面提示〕。請說明可使用的重設入口與驗證方式。」不附任何舊密碼、新密碼或簡訊驗證碼。 即使對方自稱客服，也不要轉交這些內容。若已經交給別人，保留對話並按帳號疑似被盜處理保護帳號，不用提款測試密碼是否外洩。

三個入口各自長什麼樣

重複使用密碼會擴大外洩影響。 同一組密碼在多個網站使用，其中一站外洩，其他站也可能受到影響——攻擊者拿到的是現成的帳密組合，直接一站一站試。這種情況下密碼設得再複雜也沒用，因為它不是被猜出來的。

驗證碼也可能透過話術被騙走。 對方不需要你的密碼，只需要讓你相信「有一則驗證碼要唸給我確認身分」。話術版本很多：核對帳號安全、協助解鎖、退款作業、系統升級。共同點是都會製造時間壓力，讓你來不及想「為什麼確認身分需要我這邊的驗證碼」。

裝置端的疏漏最不起眼。 在朋友手機、家裡共用電腦或網咖登入後沒有登出，或勾了「記住我」，登入狀態就留在那台裝置上；下一個人打開瀏覽器不需要密碼也不需要驗證碼，直接就是登入狀態。

上述情境即使沒有破解加密也可能發生。除了辨識可疑要求，也要維持裝置與瀏覽器更新；若懷疑裝置被遠端控制或安裝了不明軟體，改用可信任裝置處理，不在可疑裝置輸入新密碼。

五條不退讓的底線規則

打開任何要你提供資訊、或催你立刻操作的訊息時，用這五條當即時判準：

R1　驗證碼永遠不轉述給任何人。 沒有任何正當流程需要你把收到的驗證碼唸出來或轉貼。驗證碼的功能就是證明「操作的人是你」，一旦交出去，它證明的就是別人。這條沒有例外，包含自稱客服、自稱主管、自稱系統維護的人。

R2　密碼不與信箱、社群或其他網站共用。 每個帳號都使用不同密碼，可用密碼管理工具協助產生及保存。信箱尤其需要保護，因為許多服務會透過它處理密碼重設；也不要讓其他網站共用一組密碼。

R3　不在別人的裝置勾「記住我」，離開一定手動登出。 關掉分頁不等於登出。共用裝置的正確順序是：先在頁面內登出，再清掉瀏覽器的密碼記憶提示，最後才關視窗。

R4　收到「異常登入」通知時，只從自己輸入的網址進站處理。 真的有異常登入，從官方入口進去一樣處理得到；訊息裡的連結卻可能是仿冒頁，把你導到外觀相同的假登入畫面。這條的成本只有多打幾個字。

R5　任何要你「先改綁定資料、再說明原因」的指示，一律先停下。 正常流程不會顛倒。要求先改綁定手機、先改提款帳戶、先解除既有驗證，再回頭解釋為什麼的，一律先從官方管道核對。

這些做法要一起使用，不能保證守住其中一條就足夠。78OK 已確認的登入欄位是帳號與密碼，不能假設每次登入都另有簡訊或 APP 驗證；密碼外洩時仍應立即處理，不等待第二道驗證替你阻擋。

密碼要設到什麼程度才算夠

比起「有沒有大小寫符號」，更該看的是兩件事：長度與是否只用在這裡。

• 使用夠長、難猜且不重複的密碼。 可用密碼管理工具產生，或在頁面允許的長度內使用難以猜中的長密碼；不要只在既有密碼後加年份或符號。本段是安全建議，不是 78OK 密碼欄位規格。
• 不要放進任何別人查得到的資訊：生日、手機末碼、身分證字號片段、常用的暱稱。這些是猜測時第一批被試的。
• 不同站不同密碼能降低其他網站外洩時的連帶風險。先處理已知重複使用的密碼，並逐一改成各帳號專用的組合。

適用條件與例外：以上是通則。若你已使用密碼管理工具產生隨機密碼，長度與複雜度都由工具處理，這時該擔心的變成主密碼本身與工具的備援方式；若你習慣手動記憶，則要接受記憶力的限制，把力氣放在「重要的幾組不重複」，而不是追求每一組都又長又亂。

登入密碼忘記時，走 重設登入密碼的正式流程，不要用相近的變體反覆猜測。這條流程不能當成資金密碼的重設依據。出現錯誤提示時先記下原文；不要自行假設固定錯誤次數或鎖定時間。

二次驗證與裝置清單，各自能做到什麼

這兩項是最常被建議、也最常被誤解的防護。

多因素驗證可增加一道防護，但不等於無法被冒用。 不同方法抵抗釣魚的能力不同，驗證碼可能被誘騙交付，既有登入狀態也可能遭竊取。CISA 的多因素驗證說明建議使用能抵抗釣魚的方法。這是一般安全知識，不代表 78OK 已提供這些選項；不要自行假設登入時一定有第二道驗證。

綁定手機的設定與簡訊收不到時的處理，見 手機號碼綁定與簡訊驗證。

裝置或登入紀錄清單能做到的是「事後發現」，不是「事前阻擋」。 它的用途是讓你看見不熟悉的登入時間、地點或裝置型號，從而察覺異常。但它不會在別人登入的當下把人擋下來，也不會替你判斷哪一筆是可疑的——同一組行動網路在不同時間可能顯示不同地區，看到陌生地名不必然代表被盜。

怎麼看才有意義：不要只看地點，要看「時間點」。凌晨三點、你確定在睡覺的那個時段出現的登入，比一個陌生的城市名更值得追。

尚未能確認的部分：各平台提供的裝置管理功能不盡相同，有些只顯示最近幾筆登入紀錄、有些可主動登出其他工作階段。若 78OK 頁面沒有對應選項，不要照其他平台的選單操作；從聯絡頁說明是否仍能使用帳號，詢問可用的保護方式。

已經覺得不對勁時，先做這三件事

先依你能否安全使用帳號分流：

1. 仍可安全使用正式重設流程：從可信任裝置、自行核對網址後更換密碼；要求的驗證碼只填在正式流程中，不轉交任何人。若同一密碼用於其他服務，也分別更換。
2. 無法進入、重設失敗或疑似仍有非本人操作：直接從聯絡頁說明狀況與發現時間，請對方確認可採取的帳號保護措施，不等完成全部自查才求助。
3. 保存可取得的紀錄：保留可疑訊息、時間與非本人操作的畫面；能檢查綁定資料就核對是否有變動，不為取得截圖而冒險回到可疑裝置。遇到自稱客服的帳號，另看假冒客服辨識。

更換密碼不代表其他裝置的既有登入狀態一定已失效。是否能登出其他裝置、限制操作或恢復帳號，要以正式頁面及回覆為準；自查、保存紀錄與提出求助可以並行。

定期檢查，別等到無法登入才處理

密碼管理、聯絡方式與裝置三條線分開檢查：登入密碼若曾用在其他網站，就換成本站專用組合；資金密碼別與登入密碼相同；手機或信箱失效時，及早處理綁定資料。公用裝置登入後，登出並關閉頁面，也不要讓瀏覽器保存登入資訊。這些是通用的安全習慣；會員中心的可用設定以實際畫面為準。

舉例來說，假設你換了手機，舊手機還留有自動填入的登入資料：先在新裝置設定自己的密碼管理方式，再檢查舊裝置瀏覽器是否儲存本站資料。若同時收到不認識的登入通知，就依帳號疑似被盜處理立刻改密碼並留存通知。

下一步先完成官方入口辨識，再把登入與資金密碼分開設定。