eSIM與網路安全｜郵輪付費Wi-Fi 資安真實案例與 Google Authenticator 防駭教學

最後編輯時間 : 2025年 10月 26日

編輯者：旅喵編輯部

出國旅遊最怕的不是迷路，而是「手機一連網，錢就不見了」。
一位Threads友在郵輪上花了 8000 元買 Wi-Fi，沒想到才連上網不到幾分鐘，就被駭客入侵，帳戶裡的 24 萬元加密貨幣瞬間歸零。

這場駭客攻擊的關鍵，竟然不是密碼外洩，而是大家以為「安全方便」的——
Google Authenticator 雲端同步功能。

原PO分享，夫妻倆搭乘郵輪前往日本鹿兒島，為了能在旅途中處理公事，購買了郵輪提供的網路方案。
連線後看似一切正常，卻在登入 Gmail 時，突然收到來自交易所的驗證碼郵件。

他們立刻打開交易所 App，驚覺帳戶內 8000 USDT（約台幣 24 萬元） 已被轉走。
更離譜的是，駭客還在 Google 安全性設定中新增了「進階登入方式」，能繞過密碼，隨時登入他們的帳號。

2023 年後，Google Authenticator 新增了「雲端備份同步功能」，可讓驗證碼儲存在 Google 帳號中。
看似方便，卻讓駭客有了新的攻擊管道。

一旦帳號遭入侵、或登入公共 Wi-Fi 被攔截，
駭客可能直接同步取得所有 2FA（雙重驗證碼），等於打開你所有帳號的大門。

要降低風險，建議立即檢查以下設定：

打開 Google Authenticator → 點右上角頭像 → 關閉「同步至 Google 帳號」
（關閉後驗證碼只存在本機，不會自動上傳雲端。）

如：Authy（離線模式）、1Password OTP、YubiKey 等實體金鑰。
這類工具能防止雲端同步帶來的單點風險。

尤其是：

可考慮使用手機網路（或安全 eSIM）取代不明 Wi-Fi。

Google 在 2023 年推出讓 Authenticator 與 Google 帳號同步備份的一項功能，目的是避免使用者換手機時一大堆 OTP（一次性驗證碼）難以搬遷，但把 OTP 秘密備份到雲端，就等於把額外的存取點交給了雲端帳號的安全性。若你的 Google 帳號被入侵、被拿到登入權或被社交工程攻破，攻擊者可能就能取得你原本放在 Authenticator 裡的 OTP。
社群與資安圈對此功能也有警示與爭論：把密鑰放到雲端雖然方便，但同時擴大了「一處被破」導致「多處受害」的風險。許多使用者因此選擇關閉同步、把 OTP 僅保存在單一受控裝置上。

⚠️ 在做任何變更前：先備份你的 2FA 秘密（QR code 或密鑰）到安全地方（印出或寫下、存在保險箱）。關掉同步可能會把雲端中的副本移除或失去雲端備份，若沒有本地備份，你可能會被鎖在帳戶外。

步驟：

開啟手機上的 Google Authenticator 應用程式。
點右上角的 個人圖像 / 帳號圖示（profile avatar）。
在選單中選擇 「Use without an account」 / 「Don't log in, use 'Authenticator'」或類似選項（中文版本可能寫成「不登入，僅使用 Authenticator」之類）。
會跳出警告視窗告知「此操作會讓你的 OTP 僅保存在此裝置，並從雲端移除/停止同步」，確認你已備份後，按 Continue / 確定 即可。
若成功，你會在 App 的雲朵圖示上看到「斜線」或明顯標示為「未同步」。

要點提醒：

關閉後，Google Authenticator 僅在本機儲存代碼（device-only）。若你換手機或手機遺失，必須用你先前備份的 QR / 秘鑰手動恢復各服務的 2FA。
如果你在 App 裡看不到上述選項，請先更新 Authenticator 至最新版本，再檢查。若仍找不到，參考官方支援說明或社群教程。

立刻打開 Google Authenticator，檢查右上角帳號狀態。如果發現雲端同步已開，請先備份所有 QR/密鑰（拍照或寫下）。
在確認你有本地備份後，選 Use without an account / Don't log in, use 'Authenticator' 將 App 設為本機儲存（關閉雲端同步）。
為重要帳戶（交易所、銀行、信箱）啟用硬體金鑰或下載備用代碼並鎖好。
檢查 Google 帳號與其他重要服務的登入紀錄、撤銷不熟識的設備與應用。
若常在出差/出國使用公開網路，改用行動熱點或受信任 VPN，並關閉不必要的遠端存取軟體。