生物辨識就安全嗎？日本證券業示警的身分驗證盲點

指紋或臉部辨識能替登入多加一道門，單獨使用仍無法保證證券帳戶不被接管。日本證券業近期提醒投資人留意已設定通行密鑰（Passkey）的帳戶安全；日常防護還要涵蓋憑證保管、多因素驗證，以及登入和交易通知。Passkey 的運作方式與安全邊界可先從裝置端驗證理解。

日本媒體 11 月 11 日報導，日本證券業協會與證券公司對已啟用生物辨識 Passkey 的證券帳戶疑似遭接管一事發出提醒。報導描述的疑慮涉及帳戶安全與 Passkey 的保存環境，並沒有證據顯示指紋或臉部辨識演算法本身被破解。日本證券業協會的網路交易安全指引則建議業者在登入、出金等重要操作加強驗證。

生物辨識的限制在於比對結果是依門檻判斷的機率結果。美國國家標準暨技術研究院（NIST）數位身分指引指出，生物特徵比對本身不足以單獨確認使用者身分，應搭配實體驗證器等因素使用。Passkey 通常由裝置上的指紋或臉部辨識解鎖金鑰；生物辨識負責確認裝置前的人，Passkey 則用金鑰向服務證明持有憑證。若帳戶、裝置或同步保管環節出現問題，生物辨識仍無法單獨替帳戶把關。

投資人可以先進入券商 App 或官網的安全設定，檢查是否有多因素驗證、登入提醒、交易通知、出金通知，以及變更約定銀行帳戶的通知。日本金融廳防範網路交易遭未授權登入的提醒也建議啟用券商提供的登入、交易、出金與收款帳戶變更驗證及通知，並定期查看帳戶紀錄。台灣投資人可依自己券商提供的功能逐項開啟；網銀帳戶出現異常時的查核方式，也可參考網銀帳戶異常轉帳的處理與安全檢查。

設定時也要確認 Apple、Google 等雲端帳戶已啟用雙重驗證，並更新復原電話與電子郵件。若看到陌生登入、交易或出金通知，應從已收藏的券商官方網址或官方 App 聯絡客服，並立刻檢查登入紀錄與交易明細。通知能縮短發現異常的時間，無法取代登入與重要交易的驗證設定。

常見問題

開啟指紋或臉部辨識後，證券帳戶就安全了嗎？
生物辨識可作為登入驗證的一環，無法單獨涵蓋雲端帳戶、憑證同步及重要交易等環節。請一併啟用券商提供的多因素驗證和帳戶異動通知，並定期核對交易紀錄。

投資人應優先開啟哪些證券帳戶通知？
可先檢查登入、交易、出金及約定銀行帳戶變更通知，再確認重要操作是否要求多因素驗證。日本金融廳也把這些驗證與通知列為券商帳戶安全設定項目，實際選項依各券商服務而異。