關於帳號保衛戰
帳號保衛戰是 ETHome 製作的免費資安教育遊戲，也是第一作家家購的續作。你先用一整年建立自己的帳號，再看一次資料外洩怎麼沿著你自己的選擇擴散，最後學會怎麼止血。
遊戲裡的服務名稱、圖示、訊息與事件都是虛構的，不代表任何真實的品牌或公司。攻擊手法與建議則參考官方與可信來源的說明。
隱私說明
你不需要給我們任何真實資料
- 全站沒有密碼輸入框，也不要求輸入 Email、電話或生日。所有選擇都是按鈕。
- 遊戲裡出現的「〔你的全名〕」只是示意，我們不知道你的名字。
沒有 cookie，也沒有第三方
- 本站不對玩家設定任何 cookie，也不做裝置指紋。
- 不載入任何第三方資源：沒有外部字型、分析工具、廣告或社群嵌入。圖示都是自己畫、放在自己的主機上。
- 遊戲進度只存在你這個瀏覽器分頁（sessionStorage），關掉分頁就消失。
匿名統計「大家的選擇」
- 只有玩完整場，才會記錄一筆：角色、每一題選了哪個選項的代號、每回合做了哪些行動的代號、結局（稱號、守住與淪陷的數量）。時間只記到「哪一個小時」。
- 不記錄 IP、裝置或瀏覽器資訊，也無法從這筆紀錄找到你。
- 少於 60 秒就結束的場次不列入；不滿 20 場時，任何數字都不顯示。
- 遊戲頁下方可以勾選「這場不要列入統計」；玩完之後，也可以在結局頁按「從統計中刪除我這一場」。
- 統計紀錄保存 2 年，之後自動刪除。
伺服器存取紀錄
- 和一般網站一樣，伺服器會留下連線紀錄（包含 IP 位址），只用於維運與資安，保存 14 天後自動刪除，也不會和遊戲紀錄放在一起或互相比對。
離開本站的連結
- 遊戲畫面只連到 ETHome（ethome.cc）與家家購。結局裡的「外洩查詢」是 ETHome 主站的工具，需要輸入真實 Email，要不要使用由你決定；連過去時不會帶上你在遊戲裡的任何資料。
- 下方「參考資料」連到各來源的官方網站，會在新分頁開啟，也不會告訴對方你從本站過去。
參考資料
遊戲裡的攻擊手法與建議，都對照過下列官方或可信來源（最後查證日期寫在每一則後面）。
-
撞庫：攻擊者拿某個網站外洩的帳號密碼，去試其他網站；之所以有效，是因為很多人在不同帳號重複使用同一組密碼。
英國國家網路安全中心（NCSC）〈Use of credential stuffing tools〉，2018-11-19（查證：2026-10-23）
用在：第二幕撞庫規則、稱號「一組密碼走天下」、建議「換掉重複使用的密碼」
-
信箱要用強而且獨立的密碼：犯罪者一旦進了你的信箱，就能重設你其他所有帳號的密碼。
英國國家網路安全中心（NCSC）〈Top tips for staying secure online: Use a strong and separate password for your email〉，2018-12-17（查證：2026-10-23）
用在：信箱重設的連鎖規則、稱號「Email 一倒全倒」、建議「信箱先開兩步驟驗證」
-
外洩的資料會被拿來製作看起來很真的釣魚訊息；外洩的密碼如果還在用、或其他帳號用同一組，都應該盡快換掉；有通行密鑰可以改用。
英國國家網路安全中心（NCSC）〈Data breaches: guidance for individuals and families〉，2021-01-28（查證：2026-10-23）
用在：第二幕的外洩通知與二次詐騙訊息（訊息裡有你的名字）
-
多因素驗證（兩步驟驗證）讓密碼被偷時，攻擊者仍然過不了第二道關卡；但不是每種方式都一樣強，唯一普遍可用的防釣魚驗證是 FIDO／WebAuthn。
美國網路安全暨基礎設施安全局（CISA）〈More than a Password〉，2022-06-06（查證：2026-10-23）
用在：兩步驟驗證擋下撞庫與信箱重設；點了釣魚連結時只有通行密鑰擋得住
-
驗證方不得要求使用者設定安全提問（以知識為基礎的驗證），也不得強制定期更換密碼；必須允許使用密碼管理器與自動填入。
美國國家標準暨技術研究院（NIST）〈SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management（第 3.1.1.2 節）〉，2025-07-31（查證：2026-10-23）
用在：安全提問被猜中的規則、建議「安全提問改填假答案」與「用密碼管理器」
-
通行密鑰（passkey）以 FIDO 標準的公開金鑰密碼學運作，沒有密碼可偷、也沒有可被拿去用的登入資料，因此能防釣魚。
FIDO 聯盟〈FIDO Passkeys: Passwordless Authentication〉（查證：2026-10-23）
用在：第一幕的「用通行密鑰登入」、通行密鑰不怕撞庫與釣魚
-
釣魚訊息常說帳號有可疑登入、付款資訊有問題、可以領退款、送你優惠券；要查證，請用你確定是真的電話或網站聯絡對方，不要用訊息裡的連結。
美國聯邦貿易委員會（FTC）〈How To Recognize and Avoid Phishing Scams〉，2022-09（查證：2026-10-23）
用在：8 月相簿空間釣魚、第二幕的二次詐騙訊息、建議「自己打開 App 確認」
-
換手機前，要把舊手機從各帳號的信任裝置中移除、確認它不再連著你的帳號，再回復原廠設定。
美國聯邦貿易委員會（FTC）〈What to know before you upgrade your phone. And how to protect your new one〉，2025-01-03（查證：2026-10-23）
用在：7 月賣舊手機、第二幕的舊手機事件、建議「舊手機先登出再賣」
-
詐騙集團用「幫忙投票」誘導民眾在仿冒頁面輸入 LINE 帳號、密碼及手機收到的認證碼後接管帳號，再冒名向好友借錢；刑事局呼籲不在不明網頁輸入帳密、不把認證碼給他人。
刑事警察局（中央社報導）〈幫忙投票成釣魚陷阱 刑事局源頭防堵月均案降逾9成〉，2026-08-03（查證：2026-10-23）
用在：第二幕第 4 回合的投票訊息、Lonely 通訊被盜後向親友借錢、點了連結時驗證碼也擋不住
-
金融機構不會發送簡訊請客戶點連結輸入帳號、密碼、簡訊認證碼；簡訊連結只能導向官網宣導或提醒事項。
金融監督管理委員會（科技新報轉載中央社報導）〈金管會：銀行簡訊嵌連結，不得要客戶輸入機敏個資〉，2023-09-20（查證：2026-10-23）
用在：第二幕第 2 回合的銀行簡訊與揭露說明
-
改了 Google 帳號密碼後，除了用來驗證身分的裝置等少數例外，其他地方都會被登出——各服務做法不同。
Google 帳戶說明〈Change or reset your password〉（查證：2026-10-23）
用在：說明遊戲的簡化：遊戲裡改密碼不會自動登出其他裝置
遊戲裡的簡化
- 遊戲裡「改密碼」不會自動登出其他裝置，要另外按「登出所有裝置」。實際上各服務不同：例如 Google 改了密碼，大部分裝置都會被登出。遊戲這樣設計，是為了讓你記得「登出所有裝置」這個動作。
- 攻擊者的行動在遊戲裡是固定、可預期的規則，回合數和行動力也是為了遊戲平衡而設定；真實世界的攻擊不會這麼整齊。
- 遊戲裡的服務各自設定了有沒有兩步驟驗證，不代表任何真實服務。
更正與回應
發現內容有誤、或對隱私有任何疑問，歡迎來信：ethomecc@pm.me