简短回答
验证码是一把钥匙，不是密码提示。它的存在是为了让正在登录的人证明自己是账号所有者。当一个你并未主动联系的人要求你分享验证码时，无论对方听起来多么友善或官方，这个请求的目的都是进入你的账号。
账号验证码是供账号所有者本人完成身份验证流程使用的。来源
仅凭这一事实就足以做出大部分决定。你永远不需要把登录验证码交给来电者，因为验证码不是给来电者的，而是给你面前那个登录界面用的。
三种看似相似实则不同的情况
混淆通常来自把三个不同的时刻混为一谈：你自己发起的登录、别人想要的验证码，以及核实来电者真实身份。它们需要不同的应对方式。
| 情况 | 正在发生什么 | 该怎么做 |
|---|---|---|
| 你打开了一个登录页面或应用，随后收到验证码以完成登录 | 你本人在登录，验证码用于完成你自己的操作 | 在你打开的界面中输入验证码。不要转发给任何人 |
| 陌生来电者要求你读出或发送验证码 | 有人正试图以你的身份完成登录 | 不要分享。结束联系 |
| 你想确认来电者是否真实 | 你需要一个你原本就信任的渠道，而不是来电者提供的号码 | 挂断电话，通过已知渠道联系该机构 |
中间那一行最为关键。验证码只对试图登录的人有用，因此索要验证码就是索要访问权限。
诈骗者可能冒充可信机构，索要验证码以获取账号访问权限。来源
为什么来电者自己的号码无法证明身份
来电者可以自称来自银行、平台支持团队或任何与你打交道的机构。来电显示、参考编号或镇定的语气都不能证明电话那头是谁。安全的做法是停止使用来电者控制的渠道，切换到你自行选择的渠道。
FTC建议结束主动联系，并通过可信的账单、应用内联系方式独立致电该机构，而不是使用来电者提供的号码。来源
这是人们常忽略的一步。如果挂断后你又拨打了来电者给你的号码，那等于回到了同一个人那里，挂断就不够。请使用你原本就有的联系途径：账单、应用、已保存的联系人或你自己导航到的官方页面。
当下可遵循的检查清单
- 暂停对话。 在来电者还在说话时，不要确认、否认或读出任何信息。
- 问自己是谁发起了登录。 如果你没有打开登录页面，验证码就不应该发给任何人。
- 结束主动联系。 你不需要向陌生人解释。
- 不要使用来电者的号码。 通过你原本信任的渠道查找该机构。
- 自己联系该机构，询问你的账号是否真的存在问题。
- 如果你收到了自己并未请求的验证码，将其视为有人尝试登录的信号，并通过可信渠道反映。
第6步值得单独拿出来说。你未主动索取的验证码不是账号被入侵的证据，但它是通过你控制的途径而非来电者去核查的理由。
应避免的错误路径
- “我就确认前几位数字。” 部分验证码仍然是钥匙的一部分。不要分享任何部分。
- “我拨打了他们给我的号码，他们确认是真的。” 那个号码会把你带回同一个来电者。它什么也证明不了。
- “来电者已经知道我的名字，所以肯定是真的。” 知道你的某些信息并不能证明身份，也不是分享验证码的理由。
- “我现在分享，之后再改密码。” 一旦别人完成了登录，情况就已经改变了。要在分享之前停下，而不是之后。
这些路径都不需要你了解某个平台菜单如何操作。决定在任何菜单起作用之前就已做出：验证码是给账号所有者的，而陌生来电者不是账号所有者。
本指南不涵盖的内容
有些机构在你主动联系他们时会使用自己的确认流程。那些流程与因你未发起的登录而收到的验证码不同，本指南不把每个支持确认步骤都当作登录验证码。这里的规则刻意保持狭窄：用于登录的验证码只属于正在登录的人。
本页也不涵盖受惊后清理账号、更改设置或核实个人资料是否真实。那些是另外的任务。
有用的下一步
来电往往伴随着一个故事：一条消息、一个社交媒体个人资料或一个自称官方的支持账号。如果你想审视的是那个声称而非电话本身，下一个任务就是核实支持账号是否真实。我们关于核查虚假客户支持社交账号的指南详细探讨了那个独立问题。
当你查看联系过你的个人资料时，用户名搜索可以作为一个起点，但公开匹配只是线索，不能证明背后是谁。请将其视为需要核实的内容，而不是确认。