为什么“已经开了多因素”还不够
假设一家企业两年前就为所有员工开启了多因素认证，主要方式是短信验证码和手机推送确认。某天，一名财务人员在仿冒的登录页面上输入了密码和验证码，攻击者随即用这组信息登录了邮箱并设置了转发规则；另一次，运维管理员在深夜连续收到几十条推送请求，迷迷糊糊点了同意。事后复盘发现，问题不在于没有多因素认证，而在于这些方式都依赖用户判断眼前的页面或请求是否真实。一旦用户被骗，第二个因素也会被一起交出去。
NIST 在 2025 年 7 月定稿的数字身份指南第四版中，对认证保障等级作了更新：在第二级，验证方应至少提供一种防钓鱼认证选项，并在可行时鼓励使用；第三级则要求使用私钥不可导出、具备防钓鱼能力的密码学认证器。指南同时把短信和电话通道列为受限认证方式，需要评估风险并提供替代方案。这些要求直接针对联邦系统，企业可以把它们作为判断方向：防钓鱼认证的关键，在于认证器会核对正在访问的站点或服务，用户被引到仿冒页面时，凭证无法在那里生效。
按风险排出先改的账号
全员一次性切换往往引发大量求助和抵触，JOTOglobal 建议由身份管理员与安全负责人先按风险排出顺序。第一批是能改变他人权限或接触大量数据的账号：域管理员、云平台和身份平台的管理员、网络和安全设备的管理账号、邮件管理员。第二批是常被冒充或能直接发起付款的岗位，例如财务审批、采购、高管助理和对外客服主管。第三批是普通员工和外包人员。每一批都写明涉及的系统、负责推动的部门联系人和计划完成时间，并说明哪些旧系统暂时不支持新方式、需要单独制定过渡措施。
选择认证器时，先确认身份平台和关键应用实际支持哪些防钓鱼方式，例如绑定设备的通行密钥、硬件安全密钥或平台内置的认证器，再按岗位确定发放方式。管理员和高风险岗位优先使用设备绑定、私钥不可导出的认证器，并为每人准备一个备用认证器，分开保管。若组织允许可同步的通行密钥，应评估同步账户本身的保护强度。采购和资产团队负责登记发放记录，包括认证器编号、领用人、发放时间和登记人，以便丢失或离职时快速找到并注销。认证器的回收也应列入离职交接清单，由直属主管确认已归还或已在身份平台注销。
把找回和例外流程一起设计
防钓鱼认证推行后，最常见的薄弱环节往往转移到账号找回：如果攻击者打电话给服务台，自称手机丢失，服务台随即重置认证，前面的投入就会被绕过。因此，服务台的找回流程应要求经过核实的身份确认，例如视频核对加直属主管确认，或到场出示证件，并在重置后通知用户本人和主管。管理员账号的找回应由两人共同完成，并保存工单。对于暂时无法使用新方式的人员或系统，应登记例外原因、批准人、替代控制措施和到期日，到期后重新评估，而不是长期保留短信作为后门。
推行期间，身份管理员应同步收紧旧方式的使用范围。已完成登记的用户，在关键应用中不再允许回退到短信或推送确认；仍保留推送的群体，至少启用号码匹配或显示登录位置等辅助判断信息，并为异常请求设置告警。服务台需要提前拿到操作手册和常见问题解答，培训内容侧重于怎样识别冒充求助和怎样上报，而不是只演示如何注册设备。若某个业务系统只能使用旧方式，就把它列为单独风险项，由系统负责人提出改造或替换计划。
验收证据、误区与适用边界
验收由安全团队牵头，证据包括：身份平台导出的各批次账号认证方式统计，显示管理员和高风险岗位已全部登记防钓鱼认证器；策略配置截图或导出，证明关键应用已禁止回退到旧方式；一次在授权测试环境中进行的仿冒页面测试记录，显示新认证器无法在仿冒站点完成登录；以及服务台找回流程的抽查记录。常见误区之一是只统计“已开启多因素”的比例，而不区分方式；另一个误区是把例外长期挂着不复查，最终让最敏感的账号仍停留在可被钓鱼的方式上。
本文的分批顺序、找回流程和验收项目是 JOTOglobal 提出的组织建议。NIST 指南中的强制性条款针对美国联邦机构，企业应结合所在地区的法规、行业要求和自身系统能力判断适用范围。防钓鱼认证主要降低凭证被骗取和中间人代理的风险，并不能防止已登录设备被恶意软件控制、会话令牌被窃取或内部人员滥用权限，这些仍需终端防护、会话管理和权限审计配合。各批次的完成时间和例外期限，应由企业根据人员规模和系统改造难度自行确定。