短信验证码安全吗：能挡 76% 定向攻击，但该逐步换掉
「短信验证码不安全」这句话经常被说成结论，但它漏了前提：比起完全不开双因素，短信验证码仍然挡掉了绝大多数攻击；只是在「定向攻击」面前，它的防线明显更薄。这篇用一组可查的数据说明它能挡什么、挡不住什么，再给一条从短信迁移到验证器和 Passkey 的路线。
先看数据：短信还能挡多少
Google 2019 年发布的研究（基于大规模真实账号）按攻击类型统计了不同双因素方式的拦截率：
| 攻击类型 | 短信验证码 | 验证器 App | 安全密钥 |
|---|---|---|---|
| 自动机器人撞库 | 100% | 100% | 100% |
| 批量钓鱼 | 96% | 99% | 100% |
| 定向攻击（针对你本人） | 76% | 90% | 100% |
| 设备被控后接管 | 较弱 | 较强 | 最强 |
结论很清晰：短信验证码仍然值得开，尤其是那些只支持短信的账号；但账号价值越高，越应该换成验证器或 Passkey。
短信的四条薄弱环节
| 路径 | 怎么发生 | 你能做什么 |
|---|---|---|
| SIM 交换 / 补卡攻击 | 冒充你到营业厅补卡，或买通内部人员 | 设置 SIM PIN、运营商服务密码、号码保护 |
| 短信嗅探 / 伪基站 | 2G 降级或伪基站截获明文短信 | 少用 2G、关注异常信号；重要账号改验证器 |
| 实时钓鱼转发 | 假页面让你输入验证码，后台立刻登录 | 任何页面索要验证码都要核对域名 |
| 通知栏可见 / 同步 | 验证码在锁屏预览、多设备同步中被看到 | 关闭锁屏详情，验证码用完即删 |
安全排序，按这个顺序换
- Passkey（通行密钥）：与设备绑定、抗钓鱼，优先给主账号开。用法见Passkey 通行密钥怎么用。
- 硬件安全密钥：适合邮箱、云控制台、公司账号，抗钓鱼能力最强。
- 验证器 App（TOTP）：通用性最好，绝大多数站点支持，离线可用。
- 短信验证码：作为备用方式保留，不要作为唯一方式。
- 只有密码：最危险，尤其是密码还复用的账号。
迁移顺序：先动这三个
- 主邮箱：它是所有账号的复位入口，优先换验证器 + Passkey；
- 支付与银行：多数仍依赖短信，至少设置交易密码、限额和到账提醒；
- Apple ID / Google / 微信：设备与云数据的总钥匙，开启双因素并保存恢复码，方法见恢复码怎么保存。
迁移时注意保留一条备用路径：验证器换手机前先导出或重新绑定，别把「唯一验证方式」放在一台设备上。
五条使用纪律
- 任何人（包括自称客服、警察、银行）索要验证码，一律不给；
- 验证码只在你自己发起的登录流程里输入，页面索要就是危险信号；
- 关闭锁屏通知详情，避免旁人看到验证码；
- 收到非本人操作的验证码，说明密码已泄露，立即改密码并查登录记录；
- 换号、销号前先解绑所有账号，避免号码回收后被别人接收验证码。
常见问题
短信验证码还能用吗？
能用，而且比不开双因素安全得多。问题在于它挡不住定向攻击和 SIM 交换。账号越重要，越应该换成验证器或 Passkey。
验证器 App 丢了怎么办？
提前保存恢复码，并开启云备份（视工具而定）；换手机时用导出/迁移功能。没有备份就只能走各站的账号申诉，所以恢复码要离线存一份。
运营商能防 SIM 交换吗？
能降低概率但不能完全防住。设置服务密码、SIM PIN、号码保护，并留意「补卡成功」短信；一旦收到非本人操作的补卡通知，立刻联系运营商冻结。
小结
短信验证码不是「不安全」，而是「安全性有上限」：能挡机器人撞库和大部分批量钓鱼，挡不住针对你的定向攻击。正确做法是保留它作为备用，把主邮箱、支付、设备账号逐步换成验证器或 Passkey，再补上 SIM PIN 和恢复码备份。