密碼與身份核驗

把複用的憑據分開

假設洩露密碼也用於第二個服務，只修改第一個賬戶，另一個地方仍保留同一秘密。應獨立進入受影響服務，設定不同強密碼，並在支援時啟用MFA。密碼管理器可幫助生成和管理不同憑據，但管理器本身也需保護並按提供方說明設定。

找出錯誤假設

驗證碼題若答錯，檢查是否因為對方自稱客服就跳過核實。驗證碼即使很快過期，也可能幫攻擊者完成登入。MFA題若答錯，區分不同因素類別和重複知識核驗；根據解析修正具體理解，不給自己貼籠統的“安全很弱”標籤。

檢查一個虛構賬戶方案

描述一個“獨立密碼加另一類受支援因素”的方案，演練拒絕意外索碼請求，再找到服務方可信支援入口。練習不使用真實秘密。若調整實際賬戶，還需按提供方說明核對找回選項，避免把自己鎖在賬戶外。

用正確數選擇複習重點

本版20題，每題答對計1，五分項各4題；總正確數只加總這些題，不檢查真實賬戶、裝置或安全行為。無論0題還是20題答對，全部所選答案、正確答案、解析和五份複習說明都可閱讀。先找一個具體誤解，再用虛構情境解釋正確行動依據。看過解析後的同題提高可能包含記憶，不等於現實防護改善、資質認證或事件已處置；公開說明不含本次答案或正確數。

復盤：分清賬戶名、秘密和另一類因素

沿用密碼加已登記安全金鑰的例子，只用類別名說明“知道什麼”和“持有什麼”，不要寫任何真實密碼、驗證碼或找回資訊。再比較使用者名稱加郵箱：兩個標識不等於兩類認證因素。為虛構來電寫一句拒絕索碼的話，再指出應從哪裡獨立聯絡服務方。復盤關注具體概念和入口，不據練習成績聲稱自己的賬戶已安全；實際設定按提供方說明進行。

用虛構情境討論，不交換秘密

可以問：“不使用任何真實憑據，你會怎樣解釋“密碼加安全金鑰”和“使用者名稱加郵箱”的區別？”討論行動依據即可，不需要互查賬戶、演示登入、提交可疑連結或展示實際事件截圖。

可分享這份公開通用說明，連結不含個人答案或成績。不要提供密碼、驗證碼、找回資訊、證件或組織內部記錄；對方可換情境、不回答或結束。練習不是安全審計，也不用結果判斷誰可信、誰該承擔真實系統責任。