# 雙重認證應該用第二個電話號碼嗎？

> 什麼時候為 2FA 驗證碼準備第二個電話號碼有意義，為什麼驗證器 App 或密碼金鑰更強，以及怎麼從閒置 iPhone 上取得驗證碼。

最後更新：2026-10-24
標準 HTML 頁面：https://www.fwrdsms.com/zh-hant/blog/second-phone-number-for-2fa
Published: 2026-10-18

只有在網站只提供簡訊驗證碼，或者共用帳號或企業帳號需要不依賴某一個人手機的驗證碼時，才用第二個電話號碼做 2FA。網站如果提供驗證器 App、安全金鑰或密碼金鑰，請改用它們，因為不論用哪個號碼，簡訊驗證碼都是較弱的選項。

**你需要：** 要設定第二個號碼，需要一支使用 iOS 26 或以上版本、有自己的 SIM 卡或 eSIM 的閒置 iPhone，以及「捷徑」App（手機裡本來就有）；如果驗證碼要送到別人那裡，還需要 [Fwrd](https://apps.apple.com/app/apple-store/id6759069713?pt=128544281&ct=zht-blog-second-number&mt=8) 和一個接收的地方，例如私人的 Slack 頻道。

## 第二個號碼比自己的號碼更安全嗎？

在一個很窄的方面稍好一點：它讓那個帳號的驗證碼不經過你的個人號碼，也不進入你個人的「訊息」。但它並不會讓簡訊驗證碼變得更強。同樣的弱點會跟著驗證碼去到接收它的任何號碼。

美國政府機構的資料說明了其中的風險：

- **FTC** 說，「駭客可以透過 SIM 卡交換攻擊接管你的電話號碼」，而驗證器 App 更安全，因為它的驗證碼不會暴露在這種攻擊之下（[FTC](https://consumer.ftc.gov/articles/use-two-factor-authentication-protect-your-accounts)，2026 年 10 月 18 日查閱）。
- **CISA** 把透過簡訊或語音傳送的驗證碼列為容易遭受 SIM 卡交換攻擊和電話網路 SS7 訊令缺陷影響的方式，並稱抗網路釣魚的 MFA 是「最安全的 MFA 形式」（[CISA 說明文件](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf)，2026 年 10 月 18 日查閱）。
- **NIST** 制定聯邦標準，它說對頻外驗證使用公眾交換電話網路是受限的，並要求遵循其指南的服務至少再提供一種其他選項（[NIST SP 800-63B-4，第 3.1.3.3 節](https://pages.nist.gov/800-63-4/sp800-63b.html)，2026 年 10 月 18 日查閱）。
- **FCC** 在 2023 年 11 月通過規則，要求電信業者在把你的號碼轉到新的 SIM 卡或電信業者之前先核對你的身分，因為 SIM 卡交換和攜碼轉出詐騙可以在不碰手機的情況下接管電話號碼（[FCC](https://docs.fcc.gov/public/attachments/DOC-398483A1.txt)，2026 年 10 月 18 日查閱）。

Apple 把密碼金鑰描述為「能抵禦網路釣魚」，而且設計上沒有可被竊取的共用金鑰（[Apple](https://support.apple.com/zh-tw/102195)，2026 年 10 月 18 日查閱）。

| 選項 | 如何被攻擊 | 誰能登入 |
|---|---|---|
| 密碼金鑰或安全金鑰 | 能抵禦網路釣魚和 SIM 卡交換 | 持有該裝置或金鑰的人 |
| 驗證器 App | 網路釣魚，但不受 SIM 卡交換影響 | 持有裝著該 App 的手機的人 |
| 傳到你自己號碼的簡訊驗證碼 | SIM 卡交換、號碼轉移、網路釣魚 | 你，或接管了該號碼的人 |
| 傳到第二個號碼的簡訊驗證碼 | 同上，再加上獲得驗證碼分享的任何人 | 你或你的團隊 |

## 什麼時候第二個號碼有意義？

當簡訊驗證碼是唯一的選擇，又不該放在你自己的手機上時。常見的情形：

- **共用的工作帳號**只透過簡訊傳送驗證碼，而且在設定它的人不在或離職時，它也得繼續可用。
- **企業號碼**應該屬於公司，而不是某位員工的個人號碼。
- **備用。** Apple 建議，如果你有不只一個號碼，可以考慮再加入一個「與你的 iPhone 無關」的號碼作為額外的信任號碼，這樣 iPhone 遺失或損壞時你就不會被鎖在外面（[Apple](https://support.apple.com/zh-tw/122621)，2026 年 10 月 18 日查閱）。

有些服務會拒絕通話 App 提供的網路號碼。例如，Indeed 的說明頁面說，它「不再允許使用非固定的 VoIP 號碼進行帳號驗證」（[Indeed](https://www.indeed.com/help/job-seekers/articles/34540805299085-phone-verification-issues-basic-troubleshooting)，2026 年 10 月 18 日查閱）。傳到閒置 iPhone 裡真實電話號碼的驗證碼，和其他簡訊一樣會送達，Fwrd 也能把它們轉寄出去，前提是線路保持有效，免得號碼被回收。

## 如何從閒置 iPhone 上取得驗證碼

第二支手機的麻煩在於它會躺在抽屜裡。以下步驟只把其中的驗證碼簡訊傳給需要它們的人。

1. **在 Fwrd 中加入轉寄目標。** 在閒置 iPhone 上，打開 Fwrd，點一下 +，選擇驗證碼要去的地方：私人的 Slack、Discord、Teams 或 Telegram 聊天，你自己的 Webhook，一個電子郵件地址，或另一支手機。
2. **只保留驗證碼。** 把該轉寄目標的篩選條件設為看起來像驗證碼的簡訊。對於電子郵件或另一支手機，還要把傳送動作放進捷徑裡的「如果」，然後在該轉寄目標的「轉寄哪些簡訊」裡開啟「已加入『如果』」。
3. **建立「訊息」自動化操作。** 在 iOS 27 的「捷徑」裡，點一下「資料庫」，再點一下「自動化」，然後點一下 +，再點一下「訊息」。在 iOS 26 上，打開「自動化」標籤頁，點一下 +，然後選擇「訊息」。
4. **選擇要轉寄哪些簡訊。** 選擇「訊息包含」（在 iOS 27 上，把「寄件人」改為「訊息」），然後輸入你的驗證碼裡含有的一個字詞，例如 code。開啟驗證碼篩選條件之後，輸入一個空格也行。
5. **讓它無需詢問便自動執行，然後加入 Fwrd 的動作。** 在 iOS 27 上，關閉「執行前確認」，並確認「鎖定時允許執行」（在 ⓘ 下的「隱私權」中）已開啟。在 iOS 26 上，選擇「立即執行」。加入「轉寄訊息到所有轉寄目標」，並把它的「訊息」設為「捷徑輸入」（在 iOS 26 上，依序選擇「捷徑輸入」和「訊息」）。
6. **如果是電子郵件或另一支手機，加入 Apple 的動作。** 在 Fwrd 的動作下面，加入「傳送電子郵件」或「傳送訊息」，把它的「郵件」或「訊息」設為「轉寄訊息到所有轉寄目標」，並填入地址或號碼。[電子郵件指南](https://www.fwrdsms.com/zh-hant/guides/email)和[手機指南](https://www.fwrdsms.com/zh-hant/guides/phone-imessage)展示了每一步操作。
7. **這樣就完成了。** 新的驗證碼簡訊現在會自動傳到你選擇的地方，不論 iPhone 已解鎖還是鎖定。

[驗證碼頁面](https://www.fwrdsms.com/zh-hant/forward-verification-codes-iphone)介紹了更多轉寄驗證碼的方式，[在 Slack 裡與團隊共用 2FA 驗證碼](https://www.fwrdsms.com/zh-hant/blog/share-2fa-codes-with-team-slack)則完整介紹了 Slack 這一側。

## 轉寄驗證碼解決不了什麼

- **轉寄驗證碼會擴大能看到它的人。** 頻道、收件匣或群組裡的任何人都能在驗證碼有效期間使用它。請讓轉寄目標保持私人、人數少，並且只用於你被允許共用的帳號。
- **它不保護號碼。** 閒置號碼上的 SIM 卡交換仍會把驗證碼傳給接管者。請向電信業者詢問帳號鎖定或攜碼轉出保護。
- **手機必須保持開機並連上網路，**重新啟動之後需要解鎖一次，轉寄才會重新開始。
- **它不能取代更強的選項。** 如果網站之後加入了密碼金鑰或驗證器 App，請改用它們。

## 大家接下來會問的問題

### 我能用拋棄式號碼做 2FA 嗎？

你可能讓它失效的號碼有風險：如果電信業者把它分配給別人，對方就可能收到你的驗證碼。請在號碼失效之前，先從各個帳號上移除這個號碼。

### 兩個人能收到同樣的 2FA 驗證碼嗎？

只有在網站把驗證碼傳給一個號碼，而且這個號碼的簡訊會同時送到你們兩個人時才可以。把那支手機上的驗證碼簡訊轉寄到共用的私人頻道就是這樣做的，頻道裡的每個人都能使用每一則驗證碼。

### Google Voice 可以用於 2FA 嗎？

這取決於網站。有些服務根本不接受網路（VoIP）號碼用於驗證。[Google Voice 能收驗證碼嗎？](https://www.fwrdsms.com/zh-hant/blog/google-voice-verification-codes)介紹了 Google 對此的說法。

### Fwrd 會看到我的驗證碼嗎？

不會。Fwrd 沒有帳號，也沒有自己的伺服器，簡訊在 iPhone 上處理。每則驗證碼都從手機直接傳到你設定的轉寄目標，所以能讀取該轉寄目標的人就是會看到它的人。

## 繼續閱讀

- [簡訊轉寄 App 安全嗎？它能看到什麼](https://www.fwrdsms.com/zh-hant/blog/is-sms-forwarder-app-safe)
- [Google Voice 能收驗證碼嗎？](https://www.fwrdsms.com/zh-hant/blog/google-voice-verification-codes)