資安新手入門 10｜共用帳號的代價：出事時你查不出是誰做的

這組管理員帳號密碼我貼在群組記事本裡，大家要上架商品、改訂單或匯出報表都直接用這個登就好——在不少中小企業裡，這是一種行之有年的默契。不用每來一個新人就請工程師開帳號，也不用每個人記自己的密碼，看起來既省事、有時還能省下雲端軟體按人頭計算的月費。

直到有一天早上，你發現官網上某個主打商品的售價少打了一個零、或是後台大批客戶名單在半夜被人匯出、甚至是某個重要設定被關掉了。你氣沖沖地請工程師去查到底是誰幹的，工程師打開系統紀錄一看，只回你一句話：操作紀錄上寫的是管理員帳號，但公司裡連同外包廠商好幾個人都知道這組密碼，查不出是誰按的。這是資安新手入門的第十篇。繼〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉與上一篇談離職關帳號之後，這篇要帶你算清楚：共用帳號真正讓你付出的三個代價。

代價一：出事時無法歸責，連是誤按還是被盜都分不出來

在系統裡面，帳號就是一個人的數位指紋。當每個人用自己的帳號登入，誰在什麼時間改了哪一筆訂單、刪了哪一個檔案，紀錄檔上都會寫得清清楚楚。這不是為了每天抓小辮子，而是當系統出現異常時，你能第一時間找到當事人問清楚狀況。

英國國家網路安全中心（NCSC）在《資安十步：身分與存取管理》（10 Steps to Cyber Security: Identity and access management）指南中明確指出：設計存取控制系統時，必須讓組織能輕易監控帳號的使用情形，並確保系統裡的所有操作動作，都能具體連結回執行該動作的那個人或那個帳號。

一旦大家共用同一個帳號，這條追蹤線就直接斷掉。更糟的是，當後台出現奇怪的動作時，你連這是新來的同事不熟操作按錯了、還是密碼已經外洩有外部攻擊者連進來了都沒辦法馬上分辨——因為大家同時都在用同一個身分登入，正常操作跟惡意操作全部混在同一條紀錄裡。

代價二：只要有一個人離職，你就陷入改不改密碼都很痛的兩難

上一篇我們講過，有人離職的當天，第一件事是把他的帳號停用。但如果你們公司用的是共用帳號，當其中一位同事離職、或是某家短期配合的行銷廠商結案時，你會立刻卡在兩個選項中間：

• 選擇不改密碼：那位已經離開公司的人，手裡依然握著能隨時登入你們後台的鑰匙。就算你相信他的人品，你也無法控制他那台存了密碼的私人電腦以後會不會中毒或借給別人用。
• 選擇改掉密碼：你一改完，其他還在職的同事、正在跑的自動串接程式、甚至老闆自己的手機，全部會在同一時間被踢出系統。接著好幾天，大家都在群組裡問新密碼是什麼，最後為了方便，又有人把新密碼明文貼在聊天室裡。

正是因為改共用密碼太麻煩，很多公司乾脆選擇先不要改，結果一組管理員密碼用了好幾年，知道密碼的人已經離開了一半，卻沒有人敢動它。

代價三：為了讓大家都好用，只好把雙重驗證關掉、把權限開到最大

共用帳號還會帶來一個連鎖反應：它會逼你把原本能保護系統的安全機制一個個拆掉。

舉例來說，現在稍微重視安全的系統都會要求綁定手機收驗證碼（雙重驗證）。但當好幾個人共用一個帳號時，驗證碼只會跳在其中一個人的手機上；每次同事要登入，就得在辦公室大喊請那個人幫忙報驗證碼。久而久之，大家嫌煩，乾脆把雙重驗證關掉。同樣的道理，因為不同部門的人都要用同一個帳號做事，這個共用帳號的權限被迫開到最高級——原本只需要看報表的實習生，拿到的卻是能把整個網站資料庫刪掉的最高管理員鑰匙。

一張表對照：共用帳號 vs. 一人一號的真實差距

把日常的方便跟出事時的代價放在同一張表上，你可以看得很清楚：

今天就能開始改的三個小動作

要把共用帳號改掉，不需要一次把所有系統翻過來，你可以從風險最高的地方分三步處理：

• 第一步：先盤出誰有最高管理員帳號：打開你們的網站後台、雲端主機與金流平台，看是不是大家都在用同一組管理員帳號登入。
• 第二步：幫實際要操作的人各開一個子帳號：自己開發的網站後台開帳號是不用多付錢的；如果是按人頭收費的外部軟體，至少讓真正需要改設定的管理人員各自獨立，只讀報表的人改用定期匯出或通知功能，不要為了省幾個座位的月費而讓所有人共用最高權限。
• 第三步：所有人都用自己的帳號登進去之後，立刻把原本那組共用密碼換掉：把舊的共用密碼鎖進公司的密碼管理工具裡，只留給緊急狀況備用，平常任何人都不能再用它登入。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。在〈系統健檢到底在看什麼：程式碼、資料庫、部署、資安四個面向〉裡我們寫過，資安面向看的第一扇門就是「權限有沒有分：畫面上看不到不算，後端要有檢查才算」，以及在程式碼面向確認「有沒有版本紀錄，看不看得到誰在什麼時候改了什麼」。長期維護要顧的是：出事多久內有人回應，該在合約裡寫清楚。如果你們家的系統現在還是一組帳號大家輪流用、甚至連後台能不能開子帳號都不確定，可以從一次系統健檢開始：預約系統健檢