如何保護你的商戶賬戶安全：兩步驗證、登錄提醒與提現保護

商戶賬戶安全首先要防的只有一種情況：別人用你的身份登錄，然後把錢轉走。 拿到你密碼的攻擊者並不需要卡號數據，他們只要修改提現銀行賬戶、申請提現，在你發現之前就已經得手。保護支付賬戶，就是讓這些步驟每一步都很難，並且確保有任何變化時你都會知道。

這篇文章介紹今天就應該開啓的保護措施：兩步驗證、登錄提醒、退出所有設備，以及 KukoPay 在提現環節設置的保護，讓單憑一個被盜的登錄賬號無法掏空你的餘額。

開啓兩步驗證

兩步驗證意味着只有密碼還不夠登錄：你還需要手機上驗證器 App（如 Google Authenticator 或 1Password）生成的 6 位驗證碼。

1. 打開控制台的 個人資料與安全。
2. 在 兩步驗證 下，點擊 開啓兩步驗證。
3. 用驗證器 App 掃描二維碼，App 中的名稱為「KukoPay」；無法掃碼時，手動輸入下方顯示的密鑰。
4. 輸入 6 位驗證碼確認開啓。

有幾個要點：

• 它按人生效。 兩步驗證保護的是你自己的登錄，每位團隊成員都要為自己開啓。先讓能退款或提現的成員開啓，見 支付後台的成員角色與權限。
• 關閉它需要當前密碼和驗證碼，所以只拿到你密碼的人無法悄悄把它關掉。
• 通過郵件重置密碼不會關閉兩步驗證。 即使攻擊者控制了你的郵箱，也仍然需要你的手機。
• 驗證器 App 比短信驗證碼更安全，短信可能被攔截，或被轉移到另一張 SIM 卡上。
• 手機丟了？ 請聯繫平台客服，在核實身份後重置你的驗證器。

留意登錄提醒

當你的登錄發生變化時，KukoPay 會發郵件通知你：

• 從新的 IP 地址登錄：如果不是你本人，請立即修改密碼；
• 多次輸錯密碼後賬號被鎖定；
• 密碼被修改。

登錄嘗試也有頻率限制：每 15 分鐘內，每個郵箱最多嘗試 5 次、每個 IP 最多 30 次，在校驗密碼之前就開始計數，所以被盜的郵箱地址無法被拿來批量嘗試密碼。

個人資料與安全 的 登錄與會話 下，也會顯示你最近一次的登錄記錄。

修改密碼，或退出所有設備

• 修改密碼 會讓你在所有設備上退出登錄（包括當前設備），並向登錄郵箱發送通知。
• 退出所有設備 會在不修改密碼的情況下，結束所有瀏覽器和設備上的會話，適合在公用電腦上登錄過之後使用。

如果懷疑有人進入過你的賬戶，兩件事都要做：修改密碼（這已經會讓所有設備退出），如果還沒開啓兩步驗證，立即開啓。

提現是如何受到保護的

即使賬戶被完全接管，攻擊者也會遇到這些關卡：

• 新的提現賬戶要經過人工審核。 正式結算賬戶添加後處於待審核狀態，只有平台運營審核通過後才能使用；更換賬戶也需要重新審核。修改收款去向是賬戶被盜後把錢轉走的必經一步，所以這一步要多一道人工確認。
• 添加時會立即通知你。 一旦添加了正式結算賬戶，賬戶的所有者和管理員會立即收到郵件；從添加到審核通過之間，正是還來得及阻止盜用的窗口。如果不是你添加的，請修改密碼並聯繫平台。
• 提現只能打到通過審核的主體名下。 結算賬戶會與通過審核的公司或個人核對；個人商戶只能提現到本人名下的個人賬戶，添加時和每次提現時都會校驗。
• 正式提現在打款前會經過審核，只有登記了銀行轉賬記錄才算完成，見 支付結算是什麼。
• 正式 API 密鑰的變更會通知你。 每當簽發、輪換或吊銷正式 API 密鑰，所有者和管理員都會收到郵件。

API 密鑰和登錄一樣要保護

你的 API 密鑰是進入賬戶的另一條路。只把它放在服務端，每個服務一把，人員離職時輪換，並在可能的情況下用 IP 白名單把密鑰鎖定在你的服務器上。輪換以及密鑰泄露時該怎麼做，見 API 密鑰輪換。

商戶賬戶安全清單

• 所有能退款或提現的成員都開啓兩步驗證；
• 每人一個獨立的登錄賬號，使用滿足工作的最小角色，永遠不要共用賬號；
• 閲讀登錄提醒郵件，對不認識的登錄立即處理；
• 在公用電腦上用過之後，點擊 退出所有設備；
• 收到意料之外的「新增結算賬戶」郵件，要當作緊急情況處理；
• API 密鑰只放在服務端，每個服務一把，能用 IP 白名單就用；
• 離職人員當天移除，並輪換他們能接觸到的密鑰。

總結

• 商戶賬戶安全的核心，是阻止賬戶被盜後波及你的提現；
• 用驗證器 App 開啓兩步驗證：按人生效，關閉需要密碼和驗證碼；
• 登錄提醒、登錄頻率限制、修改密碼和 退出所有設備 守住登錄這一側；
• 新增結算賬戶要經過審核並通知你，提現只能打到通過審核的主體名下，正式提現打款前還會審核；
• 像保護密碼一樣保護 API 密鑰。