两步验证反而更不安全的例子

[robbielj]

当然是特例
https://ello.co/gb/post/knOWk-qeTqfSpJ6f8-arCQ

某人的两位instagram账号被黑了，原因是黑客社工了手机运营商，把绑定手机的来电转发设置给改了，然后重置密码让google打这个(绑定的)号码告知重置验证码。

之前有人用语音信箱的漏洞也把两步验证跳过了，手机运营商这方面仍然是两步验证的最大弱点。大部分人不会去注意很多默认的服务设置。而且社工往往还更简单，客服怕得罪顾客。

[robbielj]

@PP 不，我标题的意思并不是在论证2FA更不安全，只是说一个例子，一件事情，而且我也说了，这是特例。

甭管是怎么绕过的，2FA在这里还是增加了可攻击的手段。如果他压根没有设置2FA，那么这情况八成不会发生（他提到都是用随机的长密码）。

[pimin]

@robbielj
没有输入passwd的话连第二步验证都到不了吧？

[robbielj]

@pimin 这里用的是重置密码的手段，基本的密码输入被绕过了。

[Delbert]

@BinbinWang 我今年密码忘记，邮箱用的是自己已经扔掉的一个邮箱，最后发信到dropbox找回了密码，然后又重置了邮箱。

[Delbert]

@Delbert
@kmvan

[benjiam]

社工了运营商，有这个前提的话，你社工了银行，银行系统也不安全

[Blackmailbox]

用身份验证器！打印备用码！
用dropbox一定要把16位紧急验证码写下来！dropbox政策严格，就算你能改密码、验证邮箱，就算你证明了你是这个账号的拥有者，没有这个16位码 就是不让你登陆。血的教训啊！

[BlueFly]

@egen google authenticator已是各网站淘汰之列，Authy 更受欢迎。