將驗證碼交給來電者是否絕對不安全？

驗證碼是供帳戶持有人自己登入之用。未經請求的來電者索取驗證碼，就是索取你的帳戶存取權，因此安全的答案是拒絕。結束聯絡，並透過你原本信任的渠道核實該機構。

來電者給了我一個回撥號碼。我可以使用它來確認他們是否真實嗎？

撥打來電者提供的號碼會回到同一個人，因此無法核實任何事。請使用你原本已有的聯絡途徑，例如對帳單、應用程式或你自己瀏覽到的官方頁面。

停止對話，並透過你選擇的可信渠道（而非來電者的號碼）聯絡該機構。說明發生了什麼事並遵循他們的指引。本指南不描述具體的帳戶選單或復原步驟，因為那些因機構而異，應由該機構本身提供。

這不是外洩的證據，但這是透過可信渠道檢查的理由。自行聯絡該機構並詢問有關活動，而非與來電者討論。

驗證碼是一把鑰匙，不是密碼提示。它的存在是為了讓正在登入的人證明自己是帳戶持有人。當你沒有聯絡過的陌生人要求你分享該驗證碼時，無論來電者聽起來多友善或多官方，該要求都是為了進入你的帳戶。

帳戶驗證碼是供帳戶持有人進行身分驗證流程之用。來源

單憑這一事實已足以決定大多數情況。你永遠不需要把登入驗證碼交給來電者，因為驗證碼不是給來電者的，而是給你面前的登入畫面。

混淆通常源於混合三個不同時刻：你主動開始的登入、別人索取的驗證碼，以及核實來電者身分。它們需要不同的應對行動。

中間一行最為關鍵。驗證碼只對試圖登入的人有用，因此索取驗證碼就是索取存取權。

騙徒可能冒充可信機構並索取驗證碼以取得帳戶存取權。來源

來電者可以自稱來自銀行、平台支援團隊或任何與你有往來的機構。來電顯示、參考編號或冷靜的語氣都不能證明電話另一端是誰。安全的做法是停止使用來電者控制的渠道，改用你自己選擇的渠道。

FTC建議結束未經請求的聯絡，並獨立使用可信的對帳單或應用程式聯絡方式致電該機構，而非來電者提供的號碼。來源

這是人們常忽略的部分。如果你掛斷後又撥打來電者給的號碼，那只是回到同一個人，掛斷並不足夠。請使用你原本已有的聯絡途徑：對帳單、應用程式、已儲存的聯絡人或你自己瀏覽到的官方頁面。

第6步值得與其他步驟分開處理。你沒有要求的驗證碼並非外洩的證據，但這是透過你控制的途徑（而非來電者）進行檢查的理由。

這些路徑都不需要你了解特定平台選單如何運作。決定是在任何選單變得重要之前作出的：驗證碼是給帳戶持有人的，而未經請求的來電者並非帳戶持有人。

有些機構在你主動聯絡他們時會使用自己的確認流程。那些流程與你沒有開始登入卻收到驗證碼的情況不同，本指南不會將每個支援確認步驟都視為登入驗證碼。這裡的規則刻意狹窄：用於登入的驗證碼只屬於正在登入的人。

本頁也不涵蓋受驚後清理帳戶、更改設定或檢查個人檔案是否真實。那些是獨立的任務。

來電通常伴隨一個故事：一則訊息、一個社交媒體個人檔案或一個自稱官方的支援帳戶。如果你想審查該說法而非電話本身，下一個任務是檢查支援帳戶是否真實。我們關於檢查虛假客戶支援社交帳戶的指南探討了這個獨立問題。

當你查看聯絡你的個人檔案時，用戶名稱搜尋可以作為起點，但公開匹配只是線索，並非背後身分的證明。應將其視為需要核實的事物，而非確認。