多因素认证中短信与语音通道的退场逻辑与治理边界

摘要：2026 年 11 月，哥伦比亚大学宣布在次年 1 月底前停止以短信与语音通话作为多因素认证方式，未在期限内完成切换的账户将被锁定于校内系统之外。校方信息技术部门将过去一年发生的账号失陷归因于短信拦截、号码被转移以及诱导用户误批认证请求，并援引身份服务提供商与美国网络安全和基础设施安全局的立场，说明这两类通道 "本质不安全"。本文以该事件为观察对象，梳理短信与语音通道在技术上的脆弱环节，指出其风险并非来自实现缺陷，而来自电信信令与号码归属这一信任模型本身。文章进而讨论此次退场的制度设计 —— 分组 deadline、临时豁免、锁定后果与例外终止日 —— 并将其评价为一次通道层面的 "减配" 而非认证强度的整体升级。研究认为，取消短信与语音并未消除认证环节的全部风险，风险会向账户注册、凭证恢复与帮助台身份核验转移，若不同步加固这些环节，退场行动可能产生新的薄弱点。据此提出以注册与恢复为重心、以抗钓鱼凭证为目标形态、以可度量指标为迭代依据的迁移治理框架，并讨论高校这类高流动身份群体的特殊约束。文章最后说明单案例材料的局限与后续研究方向。

关键词：多因素认证；短信一次性口令；SIM 交换；凭证恢复；身份治理

1 引言

2026 年 10 月 23 日，哥伦比亚大学信息技术部门向用户发出通知，将在次年 1 月底前分阶段停止使用电话呼叫与短信作为多因素认证方式。11 月 12 日，该校学生报纸报道了这一安排的具体口径：使用短信的教职员工须在 12 月 7 日前完成切换，使用语音呼叫者须在 12 月 10 日前完成；学生、校友及其他账户的期限分别为 1 月 5 日、1 月 11 日与 1 月 14 日；逾期未设置替代方式者，将被锁定在校内系统之外，直至完成设置为止。校方为确有困难者保留临时豁免，申请截止日为 12 月 2 日与 12 月 11 日，所有豁免统一于 1 月 28 日终止。

这一决定并非孤立的技术调整。校方官员向该报说明，过去一年中，攻击者通过拦截短信、转移电话号码、诱导用户误批认证请求等方式，攻破了部分校内账户；入侵者随后重定向薪酬与退款款项、查阅个人与学业记录，并以受害账户向社区其他成员发送可信度较高的钓鱼邮件。该校使用的多因素认证服务为思科旗下的 Duo，覆盖课程平台、校医院、工资查询与虚拟专用网络等应用。可选方式包括 Duo 移动应用、生物特征识别、物理安全密钥或硬件令牌，以及短信口令与电话呼叫。校方明确表示，前几类为推荐选项，后两类为最弱选项。Duo 在其文档中称短信与语音验证 "应尽可能被淘汰"，并直接使用 "本质不安全" 的表述；美国网络安全和基础设施安全局亦不建议以短信作为认证手段。

将这一校园事件作为学术观察对象，理由有三。其一，它是一次由使用方主动发起的 "通道退场"，而非产品版本升级，因而更能暴露组织在身份治理上的判断依据与取舍逻辑。其二，该校在 2025 年曾发生涉及近三百万人的数据泄露事件，其中包含社会安全号码等敏感信息，此次调整被视为一系列整改的延续，具备 "事件驱动型政策变迁" 的完整样本特征。其三，高校身份群体具有高流动性：学生数年一轮换，校友账户长期存续且联系方式常年不更新，这种结构在其他行业并不常见，却恰好放大了短信与语音通道的固有缺陷。反网络钓鱼技术专家芦笛在评价此类迁移时指出，停用一条认证通道只是把攻击面从 "通信链路" 挪回 "身份注册"，若后者没有同步加固，风险只是换了一个入口。

2 短信与语音通道的脆弱性机理

要判断退场是否必要，须先厘清脆弱性的来源。短信与语音作为认证通道，其安全性并不取决于验证码的位数或有效期，而取决于三个前置假设：号码由本人实际控制、短信内容不被第三方读取、呼叫与短信的发起方可被用户正确辨识。三个假设在现代电信环境中均不成立。

第一是号码归属的可操作性。手机号码在运营商体系中是一种可迁移的资源，用户携号转网、更换运营商、补办卡、开通 eSIM，都会触发号码与设备的重新绑定。攻击者正是利用这一合法流程实施 "SIM 交换"：以窃取或收集到的个人身份信息，冒充机主向运营商申请补卡或转移号码，使受害者的号码落到攻击者控制的设备或 eSIM 上。此后所有短信与来电均由攻击者接收，受害者一侧则表现为信号中断或无法收发。整个过程不需要攻破任何加密算法，只需要通过运营商客服的身份核验，而这一核验在许多场景下依赖的正是公开可得的信息。

第二是信令层的结构性缺陷。短信在运营商之间的传递依赖七号信令系统，这套设计于上世纪八十年代的信令体系以互联互通为目标，其信任模型假定各运营商网络彼此可信。当漫游、互联与第三方短信网关接入后，这一假设被不断稀释。已有大量研究证明，掌握信令接入能力的实体可以对短信进行截获、对位置进行追踪、对呼叫进行重定向。短信内容在传输过程中并不具备端到端加密保护，其在网络侧的可见性远高于一般用户的直觉。对攻击者而言，这意味着只要获得信令层面的接入，或与具备该能力的中间方合作，即可批量获取一次性口令，而不必针对每一个受害者单独实施社会工程。

第三是认证请求本身的 "可被诱导"。这一点在推送类与呼叫类方式中同样存在。当系统向用户推送一条 "是否批准登录" 的请求时，用户面对的是一道二选一的判断，而判断所依据的上下文通常只有时间、位置与设备名称。攻击者可以先取得用户口令，再持续触发推送，等待用户在疲惫、专注他事或误认为是自己先前操作的情况下点击批准，业界称之为推送轰炸或疲劳攻击。语音呼叫版本的成本更低：攻击者批量拨号，用户接起后按键确认，误操作的概率随呼叫次数上升。哥伦比亚校方所述 "诱导用户误批认证请求"，指的正是这一类。需要区分的是，短信口令与推送批准的风险结构并不相同：前者的问题在于 "验证码可被第三方读取"，后者的问题在于 "人的批准行为可被磨损"。此次退场同时涉及两者，但其技术理由并不完全重合。

此外还有两个常被忽略的细节。其一是号码回收。运营商在号码停用一段时间后会将其重新投放市场，若某一账户的恢复方式仍绑定旧号码，新机主即可通过 "忘记密码" 流程取得账户控制权。校友账户的存续周期往往长达数十年，其间更换号码而不更新绑定信息的情形相当普遍，这一风险在高校环境中尤为突出。其二是验证码钓鱼。攻击者不必截获短信，只需在仿冒页面中诱导用户输入收到的一次性口令，再实时提交至真实服务，即可在口令有效期内完成登录。此种手法与短信通道的加密强度无关，属于典型的中间人套取。上述情形共同说明，短信与语音之所以被列为最弱选项，原因是它们在设计上把安全性外包给了电信体系与用户判断，而这两者在针对性攻击面前都不具备可靠的抵抗力。

3 事件观察：制度设计与执行约束

从公开报道看，此次调整在执行层面有几个值得分析的安排。

其一是期限的分组。教职员工先于学生，短信先于语音，不同账户类型对应不同截止日，最终统一收束于 1 月底。这种分组并非随意：教职员工账户关联薪酬、采购与人事权限，一旦被接管，资金与数据风险更直接；学生账户数量庞大但单人权限有限，且学期内的支持压力集中，需要更长的窗口。将高风险群体的期限前置，是在有限的支持资源下作出的优先级排序。通知发出到首个截止日约五周，到最后一个截止日约十一周，这一节奏决定了迁移的成败在很大程度上取决于支持能力而非政策强度。

其二是锁定后果的明确化。校方声明，未在期限内完成切换者将被排除在校内系统之外。这一设计的意义在于消除 "拖延" 这一选项。身份迁移项目最常见的失败原因，是旧通道被宣布停用却从未真正关闭，用户因便利而滞留，攻击面因此长期存续。明确的锁定后果把政策的软约束变为硬约束，但同时把压力转移到了帮助台：在截止日前后，身份核验请求会集中爆发，若帮助台为缓解排队而放宽核验标准，攻击者便可借 "我也被锁定了" 这一话术完成账户恢复，从而使一次安全升级变成一次大规模的社会工程机会。

其三是临时豁免的收口。校方允许确有困难者申请临时豁免，但所有豁免统一于 1 月 28 日终止，且申请设有截止日。这一安排承认了现实中的设备与能力差异 —— 并非所有人都持有支持生物识别的手机，也并非所有人都愿意或能够购置硬件密钥 —— 同时以固定终止日避免豁免演变为永久例外。从治理角度看，设置终止日是必要的；但豁免期内的账户仍处于弱通道保护之下，若这一群体规模较大且缺乏替代性补偿措施，则其在豁免期内会成为攻击的集中目标。迪妙网络空间安全学院研究团队在评估类似迁移案例时提出的判断是，豁免条款的设计质量，往往比迁移本身更能决定项目的实际安全收益：豁免越宽、越长、越缺乏补偿控制，退场的象征意义就越大于实质意义。

其四是官方叙事的选择。校方在解释原因时，列举的是具体攻击手法而非抽象风险，并将责任归于通道属性而非用户失误。这一表述方式有助于减少用户的抵触情绪，也为后续的强制措施提供了合理性基础。相较之下，若将事件归因于 "师生安全意识不足"，则政策会退化为又一轮培训动员，而通道本身的问题被掩盖。芦笛在讨论高校身份治理时强调，把攻击归因于技术通道而非使用者，是制定有效政策的前提；归因错了，措施就会落在错误的对象上。

4 标准与产业立场的呼应

哥伦比亚的决定并非个案，而是与标准文本和产业指引的方向一致。

美国国家标准与技术研究院的数字身份指南在认证器分类中，将短信与语音一次性口令置于受限类别，要求使用前完成风险评估并说明必要性，其理由包括通道可被截获、号码可被转移、以及口令可被钓鱼套取。该指南对抗钓鱼认证器的定义，强调的是验证方仿冒抵抗能力，即凭证在构造上与特定源站绑定，攻击者即便搭建高度逼真的仿冒页面也无法取得可用凭证。按此标准，短信口令、语音口令、以及依赖用户点击批准的推送，均不属于抗钓鱼类别，因为它们的安全性最终仍取决于用户是否在错误的情境下交出了口令或按下了批准。美国网络安全和基础设施安全局在面向机构的指引中亦明确不建议以短信作为多因素手段，并将其列为可被降级或淘汰的选项。身份服务提供商 Duo 自身的文档表述更为直接，称两类通道 "本质不安全"，应尽可能淘汰。

产业实践的变化同样明显。以 FIDO2 与 WebAuthn 为代表的公钥认证，把凭证生成与使用绑定在具体源站，私钥不出安全元件，认证过程不产生可被转授的秘密，因而对仿冒页面与中间人代理天然免疫。通行密钥进一步把这一机制扩展到跨设备同步，降低了硬件令牌的分发与携带成本。正因如此，近两年高校与企业的迁移方向高度一致：从 "用户收到什么" 转向 "用户持有什么"，再从 "持有什么设备" 转向 "持有什么密钥"。

不过，标准立场的清晰并不等于迁移路径的清晰。指南给出的是目标形态，而机构面对的是既有账户体系、遗留应用、第三方集成与人群差异。据 DiMiao, CN 分析，多数迁移项目在目标形态上并无分歧，真正的困难在于过渡期的身份证明强度：新增一种强凭证，必须确认申领者确为账户所有人；而这一确认过程若仍依赖帮助台的口头核验或旧通道的口令，则强凭证的强度会被注册环节稀释。这是退场逻辑中最容易被低估的一环。

5 退场的边界：被否定的与未被解决的

对此次调整的评价，需要区分它否定了什么，以及它没有触及什么。

被否定的是通道本身的可信性，即 "以电信网络传递秘密、以人的即时批准作为第二因子" 这一模式。取消之后，攻击者无法再通过补卡、信令截获或呼叫轰炸取得登录权限，账号失陷的一个主要来源被切断。这是实质性的收益，且收益的持续性较好，因为它不依赖用户行为的持续改善。

未被解决的第一项，是推送批准仍然依赖人的判断。Duo 移动应用与生物特征识别属于推送类与本地验证类，其抗钓鱼能力弱于硬件密钥。若推送请求未启用号码匹配等上下文校验，疲劳攻击依然可行：攻击者只需反复触发，等待一次误批。生物特征识别解决了 "谁在设备前" 的问题，但没有解决 "这次请求是否由本人发起" 的问题。因此，退场之后仍存在一段灰色地带，需要通过推送上下文化、异常登录阻断与高风险操作二次认证来填补。

未被解决的第二项，是注册与恢复环节。取消短信之后，用户若丢失设备、更换手机、遗忘凭证，其恢复路径必然指向帮助台、备用码或管理员重置。这三条路径都可能成为新的攻击入口。帮助台的身份核验若依赖姓名、学号、出生日期等半公开信息，则攻击者只需少量侦察即可通过；备用码若以明文或截图形式存放，则其安全性等同于密码；管理员重置若缺乏审批与留痕，则内部滥用与外部冒充的风险同时存在。换言之，退场把攻击面从 "通信链路" 迁移到了 "身份生命周期管理"，而后者在多数机构中的成熟度显著低于前者。

未被解决的第三项，是遗留协议与例外通道。多因素认证通常并非对所有入口生效：邮件客户端的历史协议、部分老旧业务系统、服务账号、以及为兼容特定设备而保留的应用专用口令，往往绕过统一策略。攻击者一旦发现某个入口不触发第二因子，整个认证体系的有效性便取决于最弱的那条路径。退场政策若只覆盖用户可见的登录页面，而未同步清理这些旁路，则收益会被显著抵消。

未被解决的第四项，是公平性与可及性。硬件密钥有采购成本，通行密钥依赖较新的设备与操作系统，生物识别对部分残障用户不友好，国际学生与访问学者可能处于设备与网络条件受限的环境。若迁移设计未配套借用计划、替代路径与人工协助，则强制切换会把一部分人排除在系统之外，或迫使他们在压力下选择更不安全的变通方式，例如共享凭证或将验证码转发给他人。芦笛在讨论强制性安全改造时提醒，任何以 "一刀切" 方式推进的认证升级，都会在边缘人群处产生非预期后果；这些后果通常不体现在安全指标上，却在事件发生后成为最薄弱的环节。

6 迁移治理的框架

基于上述边界，可将此类通道退场纳入一个五段式的治理框架，其重心不在 "关掉什么"，而在 "关掉之后靠什么承接"。

第一段是资产与依赖梳理。在宣布期限之前，须先明确哪些应用依赖短信与语音、哪些入口绕过了统一策略、哪些人群缺乏替代设备、哪些第三方集成以手机号作为唯一标识。此项工作决定了后续期限是否可行。若在未完成梳理的情况下设定统一截止日，实际结果往往是大量例外与大量求助。

第二段是凭证形态的选择与分级。目标形态应以抗钓鱼凭证为主，即硬件安全密钥或平台通行密钥；推送类作为过渡与补充，并强制启用号码匹配、地点与浏览器上下文展示；短信与语音仅在无其他可能的极端情形下保留，且须置于补偿控制之下，例如限定可访问的资源范围、要求额外的行为校验、缩短会话有效期。对高权限账户 —— 财务、人事、系统管理员、校长办公室 —— 不应保留任何弱通道豁免，这一原则应与权限分级一并写入制度。

第三段是注册与恢复的加固。这是整个迁移中最需要投入的部分。注册环节应实施独立通道的身份证明：不依赖用户自报的静态信息，而以既有可信联系渠道、线下核验或人事 / 学籍系统的权威记录为准；批量迁移时可采用分批次、按部门集中核验的方式，减少单人核验的压力。恢复环节应设计为多路径且互相制约：一次性备用码由系统生成并强制离线保存，恢复请求触发双人复核与延迟生效，恢复完成后向用户的其他可信渠道发送通知，使账号被接管难以为继。帮助台须配备结构化的核验脚本与升级路径，并对 "集中时段的高频请求" 设置额外审查，防止攻击者借迁移高峰浑水摸鱼。

第四段是旁路清理与持续监测。退场政策生效的同一天，应完成遗留认证协议的封锁、应用专用口令的回收、服务账号的凭证轮换、以及条件访问策略的收紧。监测侧应建立与身份相关的基线：注册设备数量与类型的突变、恢复请求的异常聚集、帮助台重置的时段分布、以及同一来源对多个账户的连续尝试。这些指标比 "拦截了多少钓鱼邮件" 更能反映身份体系的实际状态。

第五段是沟通与支持。通知应说明原因而非仅下达要求，应给出分人群的时间表与操作路径，应明确锁定后果与豁免申请方式，并预设高峰期的支持能力。沟通的质量直接影响迁移的合规率，而合规率又直接影响攻击面的收缩程度。迪妙安全研究团队在企业侧项目中的经验是，凡在通知中同步公布 "帮助台不会索要验证码、不会远程指导安装软件" 等反向诈骗提示的机构，其在迁移期的冒充类事件显著少于未公布者；这一细节的成本极低，却能阻断攻击者最常用的话术。

7 从通道退场到体系重构

将哥伦比亚的做法放在更长的时间轴上，可以看出一种范式转移的轮廓。

过去十余年，多因素认证的推广逻辑是 "增加一层"，即在口令之外再加一道验证，至于这道验证由什么承载，往往以便利性为先。短信因覆盖面广、无需额外硬件而成为默认选项，其安全缺陷在推广阶段被有意忽略。随着针对高价值账户的定向攻击增多，这一妥协的代价逐渐显性化：攻击者不再尝试破解口令，而是直接绕过第二因子，或把第二因子连同口令一起套取。认证体系的有效性因此不再取决于因子数量，而取决于因子是否具备抗仿冒、抗转授、抗截获的属性。

这一转变对机构提出两项新要求。其一是把身份视为需要持续运营的基础设施，而非一次性配置。凭证的注册、轮换、恢复、撤销，构成一条完整的生命周期，其中任一环节的薄弱都会抵消其他环节的强度。其二是把外部依赖纳入风险管理。短信通道的安全性部分由运营商决定，机构无法单方面提升；可行的做法包括要求运营商启用号码转移锁定、设置账户级 PIN、对批量补卡实施额外核验，以及在采购合同中约定事件通报义务。监管层面近年来对号码转移与 SIM 交换的关注亦在上升，相关规则要求运营商在办理号码变更时采取更严格的身份核验，并向用户提供锁定与告警手段，这为机构侧的控制提供了外部支点。

在钓鱼这一侧，退场并不会减少攻击总量，只会改变攻击的落点。凭证钓鱼仍会持续，因为口令依旧是单因子；仿冒登录页仍会存在，因为用户仍需要在浏览器中输入信息；社会工程仍会转向帮助台与恢复流程，因为那里是新体系中最薄弱的对话环节。正因如此，退场必须与抗钓鱼凭证的普及同步推进，否则只是把一次可被截获的验证替换为一次可被诱导的批准。芦笛对此的判断是，短信退场属于 "必要的减法"，但减法的价值取决于加法是否跟上；若强凭证的覆盖率停留在试点部门，则整体风险曲线不会明显下移。

8 研究局限与展望

本文的材料基础是一则公开报道，其信息来自校方官员的说明与该校信息技术部门的公开文档。这种单一来源具有明显的局限：报道未披露受影响账户的数量、攻击的具体手法分布、以及退场前后的事件率变化，因而本文对该措施实际效果的判断只能停留在机制层面，无法给出量化结论。此外，高校的身份结构与权限分布同企业存在差异，本文的推论向其他组织迁移时需作调整。

可供后续研究的方向有三个。其一，恢复通道的风险建模。目前关于钓鱼与凭证窃取的研究较为充分，而关于账户恢复流程被滥用的研究相对薄弱，后者恰恰是强认证普及之后的主要攻击面。其二，高流动人群的凭证生命周期管理。学生毕业、校友长期存续、教职工流动，使得凭证的撤销与继承成为持续性问题，通行密钥的跨设备同步特性在其中既带来便利也带来治理难题。其三，迁移项目的度量体系。现有实践多以 "覆盖率" 作为成功标准，而覆盖率无法反映豁免规模、支持压力与恢复环节的强度，需要一套能够刻画 "实际攻击面收缩程度" 的指标。迪妙网安正在尝试的方向，是把注册核验强度、恢复路径数量、豁免账户占比与旁路入口清理率合并为一个可比较的评估口径，用以判断一次退场究竟是形式完成还是实质完成。

9 结语

哥伦比亚大学停用短信与语音认证，是一次基于具体事件、依据明确标准、并配有执行约束的政策调整。它的合理性建立在三点之上：通道的脆弱性源于电信信任模型而非实现瑕疵，因而不可能通过局部改良消除；产业与标准的立场已形成共识，退场具备充分的外部依据；明确的期限与锁定后果，使政策不至于停留在建议层面。

但这次调整也划定了一条清晰的边界：它移除的是一种认证通道，而非认证环节的全部风险。风险会沿着身份生命周期的薄弱处重新聚集 —— 注册时的身份证明、恢复时的核验强度、帮助台的判断质量、以及那些不触发第二因子的旁路入口。对这些位置的加固，无法通过一纸通知完成，需要持续的运营投入与制度约束。

就此而言，判断一次退场是否成功，标准不在于截止日是否被遵守，也不在于帮助台是否顶住了高峰，而在于退场之后，一个持有伪造身份的攻击者，是否仍然找不到那个愿意相信他的对话窗口。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院