员工是否在无意中泄露公司的访问资料？

一位员工通过 WhatsApp 把密码发给同事，好让对方帮忙处理工作。有人批准了一个不是自己发起的登入通知。还有一位员工，把远程访问代码告诉了一个自称是 IT 支援的来电者。

在忙碌的工作日里，这些举动看起来无伤大雅。但它们可能让别人在无意中取得公司电邮、文件或业务系统的访问权限。

哪些属于访问资料？

访问资料不只是密码，还包括：

• 电邮、会计系统和管理员账户的登入资料。
• 一次性密码（OTP）和恢复代码。
• 远程支援的会话代码和无人值守访问密码。
• VPN 登入资料。
• 无需登入即可访问的文件共享链接。

即使没有分享密码，批准一个意料之外的多重身份验证（MFA）请求，同样可能让别人取得访问权限。

员工如何在无意中泄露访问权限？

通过信息分享密码

通过电邮、WhatsApp 或群组聊天发送密码，等于多制造了一份这些资料的副本。

即使原本的工作早已完成，这些资料仍可能留在个人设备、已连接的电脑或旧对话里。群组成员也可能有变动，却没有人检查之前分享过的登入资料。

轻信意料之外的支援请求

来电者可能自称来自你的 IT 服务商，要求员工安装远程访问软件、分享会话代码或批准连接。

远程支援工具本身有正当用途。风险在于员工在没有确认是谁提出请求、以及为什么需要的情况下，就给了对方访问权限。

在假冒的登入页面输入资料

一封关于密码过期或共享文件的信息，可能会把你带到一个仿冒得很逼真的公司登入页面。

在那里输入密码——有时还包括 OTP——攻击者就可能尝试登入真正的账户。

批准意料之外的 MFA 通知

反复出现的登入提示，可能让员工感到困惑或烦躁。他们可能只是为了让通知停下来，就按了批准。

不是员工自己发起的批准请求，应该拒绝并上报。

设置范围过大的共享链接

员工在分享文件时，可能会选择「任何拥有链接的人」都能访问的选项。

如果这个链接被转发出去，原本不该看到的人也可能取得访问权限。应该使用哪种共享设置，取决于资料的敏感程度，以及谁真正需要它。

企业如何降低风险？

为每位员工提供个人账户

在系统支援的情况下，为每位员工提供自己的账户，并只给予其职位所需的权限。

个人账户让企业更容易检查访问权限，并在员工调职或离职时及时移除。

提供安全的方式分享必要的登入资料

如果无法避免共用登入资料，请使用公司认可、可控制分享对象的企业密码管理器。

避免把公司密码放在普通的电子表格、聊天群组或没有保护的笔记里。定期检查谁能访问共用的登入资料。

建立远程支援的核实流程

员工应该知道公司的 IT 支援由谁提供，以及如何核实对方的请求。

遇到意料之外的来电或信息时，用公司记录里原本就有的号码联系服务商，确认支援请求后，才给予访问权限。

在可能的情况下，员工应自己输入密码，并避免透露 OTP 或恢复代码。

训练员工在批准前先确认

教导员工在输入登入资料、批准登入或分享文件之前，先停下来想一想。

访问重要系统时，使用已知的应用程序链接或书签。在支援的情况下，采用能防钓鱼的身份验证方式，例如通行密钥（passkey）或安全密钥。

检查权限与共享设置

按照工作职责限制访问权限。敏感文件应指定收件人，并在适用及可用的情况下设置链接有效期。

当项目结束或员工离职时，移除不再需要的访问权限。

如果访问资料已经外泄怎么办？

立即向 IT 报告，即使暂时看不到任何可疑活动。

视泄露的内容而定，IT 可能需要更改登入资料、撤销正在使用的登入会话、删除共享链接、停用远程访问，或调查账户活动。

单单更改密码，未必能结束现有的登入会话，也未必能取消其他形式的访问权限。

让员工轻松报告

应让员工能放心、及早报告无意中造成的泄露。拖延报告，会让未经授权的人有更多时间利用这些访问权限。

欢迎联系 MY IT PLT，了解公司账户安全、远程访问控制，以及适合你企业的实用 IT 支援。