現金網 OTP、密碼同驗證碼可唔可以畀客服？帳戶安全基本線

OTP 究竟係做咩？點解唔可以當普通資料交出去？

OTP 即一次性驗證碼，通常只在短時間內有效，用來確認某一次登入、轉帳、付款、綁定裝置或其他敏感操作。正因為它可以成為授權流程的一部分，所以即使有效時間只有幾十秒或幾分鐘，都唔應該交畀其他人代你輸入。

OTP 同訂單號最大的分別係：訂單號主要用來「搵返一筆紀錄」，OTP 就可能用來「批准一個操作」。因此兩者唔應放在同一個安全級別理解。

邊啲資料可以協助對數，邊啲資料唔應該交？

真正對數的目的係確認「邊一筆交易、幾時發生、金額幾多、目前狀態係咩」，通常唔需要知道你的登入秘密。即使客服確實要核對身份，都應該經平台本身設計的正式安全程序完成。

「唔可以畀客服 OTP」係咪代表任何地方都唔可以輸入？

唔係。重點唔係「OTP 永遠不能輸入」，而係只應由你本人，在你已確認真實的官方流程內使用。

如果你本身冇發起登入、提款、付款或其他操作，卻突然收到 OTP，更加唔應該跟住陌生人的指示使用。

「客服」出現邊啲行為時，要立即提高警覺？

收到 OTP 時，唔好只睇個數字，先睇清楚訊息內容

一次性驗證訊息除咗驗證碼之外，部分銀行或服務亦會顯示相關操作資料，例如交易類型、金額、商戶或者用途。收到之後應先問自己：呢個操作係咪真係我本人剛剛發起？

• 確認自己剛剛有冇主動登入、付款、提款或更改帳戶設定。
• 核對訊息描述的交易類型同自己正在做的操作是否一致。
• 如有顯示金額或收款資料，確認內容冇被改動。
• 唔好只因為有人電話催促，就忽略 OTP 訊息入面的警告。
• 如果操作唔係自己發起，唔好輸入驗證碼，亦唔好轉發畀任何人。

點解「客服傳嚟的登入連結」特別需要小心？

釣魚網站可以做到同正式平台非常相似，包括品牌名稱、登入框、驗證碼頁面，甚至顯示假的「帳戶凍結」或者「提款待驗證」提示。

真正風險在於：你以為自己只係重新登入，但實際可能同時把帳號、密碼同 OTP 全部交咗畀第三方。對方再利用資料，即時在真正服務上完成登入或者其他操作。

遠端控制比「問你密碼」更加危險，因為對方可以直接睇住你操作

有些假客服唔會直接問你密碼，而係叫你安裝遠端桌面、螢幕分享或者「安全協助」工具。之後再叫你打開銀行、支付工具或平台帳戶，由你本人輸入資料。

表面上你冇「講出密碼」，但對方仍然可能看到畫面、控制滑鼠鍵盤、讀取通知，甚至引導你批准一筆自己未完全理解的操作。

客服叫你截圖，點樣避免順手把敏感資料一齊傳出去？

有時排查入數、出數問題確實可能需要交易畫面，但唔代表整張螢幕截圖都應該原封不動傳送。截圖之前應先檢查有冇同時露出帳戶資料、驗證碼、完整銀行資料或者其他無關敏感內容。

如果已經畀咗 OTP、密碼或者批准咗可疑操作，應該點做？

如果敏感資料已經交出去，唔好再同對方繼續「驗證」。處理重點係盡快切斷後續授權、保護仍然可控制的帳戶，並透過真正官方渠道報告事件。

如果之後發現平台戶口被鎖，可以按帳戶鎖定排查檢查下一步；如果主要問題係登入異常，可以再看登入問題排查。

OTP 已經過期，係咪就可以放心公開？

過期 OTP 通常已經不能完成原本嗰次驗證，但仍然唔建議把含有驗證資料的截圖或者聊天紀錄隨意公開。

原因唔只係嗰幾個數字本身。相關截圖可能同時包含手機號碼部分、帳戶名稱、交易金額、登入提示、時間或者其他可以幫助第三方拼湊帳戶資訊的內容。

銀行 OTP 同平台 OTP，要唔要用不同安全標準？

實際功能可以不同：一個可能用來確認銀行付款，另一個可能用來確認平台登入或者提款。但安全原則相同——只應在本人已確認的正式流程內使用，唔應交畀第三方代操作。

遇到「客服要驗證資料」，先做呢五個核對

• 確認聯絡你的人係咪來自自己已知的正式渠道，而唔係單靠頭像或名稱判斷。
• 問清楚對方需要的資料係「交易識別」定「登入／授權秘密」。
• 任何要求提供完整密碼、OTP、私鑰或助記詞的情況都應停止操作。
• 登入或驗證時，自己重新打開已確認的正式網站或應用程式，唔跟陌生連結。
• 如果要求同你原本處理的交易無關，先中止對話，再經官方渠道核實。

最重要的分界：客服可以幫你查紀錄，但唔應該代你掌握認證秘密

正常問題排查可以圍繞訂單號、交易時間、金額、支付參考編號或者帳戶狀態進行；這些資料主要用來定位問題。

密碼、OTP、私鑰、助記詞就完全不同。它們可以涉及登入、授權或者資產控制權，所以唔應該為咗「方便客服處理」而交出去。當有人將兩類資料混埋一齊，話一定要先提供 OTP 或密碼先可以查單，就應該提高警覺。